Installer un certificat auto-signé OpenSSL avec nginx

Un problème avec sudo ?

Danger (N'utilisez pas le compte root)

Si vous configurez votre serveur directement en tant que root, n’oubliez pas de retirer sudo de chaque commande.
Si vous définissez un mot de passe pour le compte root, la commande sudo ne sera pas acceptée. Connectez-vous directement en tant que root pour exécuter les commandes.
Vous pouvez aussi réinstaller votre système en laissant le mot de passe root vide lors de l’installation.
sudo s’installera et fonctionnera correctement.

Générer le certificat et la clé

Tip (Sécurité recommandée)

Il est recommandé d’utiliser ed25519 qui correspond au standard de sécurité actuel.
Cependant, il n’est pas compatible partout, notamment sur les systèmes legacy.
Dans ce cas, RSA est utilisé, il est préférable de définir une longueur de clé importante.

1
sudo openssl req -x509 -days 365 -out mycert.crt -nodes -newkey rsa:4096 -keyout mykey.key

↩️ Remplissez les différentes informations du certificat

1
Generating a RSA private key
2
..................................+++++
3
........................................................+++++
4
writing new private key to 'mykey.key'
5
-----
6
You are about to be asked to enter information that will be incorporated
7
into your certificate request.
8
What you are about to enter is what is called a Distinguished Name or a DN.
9
There are quite a few fields but you can leave some blank
10
For some fields there will be a default value,
11
If you enter '.', the field will be left blank.
12
-----
13
Country Name (2 letter code) [AU]:FR
14
State or Province Name (full name) [Some-State]:RHONE
15
Locality Name (eg, city) []:maville
16
Organization Name (eg, company) [Internet Widgits Pty Ltd]:xsec
17
Organizational Unit Name (eg, section) []:IT
18
Common Name (e.g. server FQDN or YOUR name) []:web.it.fr
19
Email Address []:test@gmail.com

Tip

Le Common Name doit être renseigné avec le nom de domaine !

OpenSSL a généré le certificat et la clé dans le répertoire où vous vous trouvez au moment où vous avez saisi la commande.
Vous pouvez les déplacer/renommer comme bon vous semble.

Éditer le fichier de configuration nginx

1
server {
2
        listen 80 default_server;
3
        listen [::]:80 default_server;
4
        root /var/www/html;
5
        index index.html index.htm index.nginx-debian.html;
6
        server_name _;
7
        location / {
8
                try_files $uri $uri/ =404;
9
        }
10
}

En haut du fichier se trouve un bloc de configuration serveur.
Il écoute sur le port 80:HTTP qui pointe vers /var/www/html puis une page d’index définie dans index ligne 5.
Comme nous allons ajouter un bloc de configuration serveur qui écoute sur le port 443:HTTPS, nous devons le modifier pour éviter les conflits :

1
server {
2
        listen 80 default_server;
3
        listen [::]:80 default_server;
4
        server_name _;
5
        return 301 https://$host$request_uri;
6
}

Ligne 5 Redirige les requêtes du port 80 vers le port 443.

:icon-file-symlink-file: Ajoutez la configuration SSL à la fin du fichier

1
server {
2
        listen 443 ssl;
3
        server_name _;
4
        root /var/www/html;
5
        ssl_certificate /var/www/sites/client1/mycert.crt;
6
        ssl_certificate_key /var/www/sites/client1/mykey.key;
7
        index index.html index.htm index.nginx-debian.html;
8
}

Ligne 4 Remplacez le chemin par le vôtre.
Ligne 5-6 Remplacez les chemins par les vôtres.

Le fichier de configuration ressemble alors à ceci (sans les commentaires) :

1
server {
2
        listen 80 default_server;
3
        listen [::]:80 default_server;
4
        server_name _;
5
        return 301 https://$host$request_uri;
6
}
7

8
server {
9
        listen 443 ssl;
10
        server_name _;
11
        root /var/www/html;
12
        ssl_certificate /var/www/sites/client1/mycert.crt;
13
        ssl_certificate_key /var/www/sites/client1/mykey.key;
14
        index index.html index.htm index.nginx-debian.html;
15
}

Redémarrer nginx

1
sudo service nginx restart

Tip

Vous pouvez maintenant consulter votre site web avec votre certificat auto-signé (https://monsite.local par exemple).