# Apache+SSL (BasicConstraints: CA == TRUE !?)

**URL:** <https://www.debian-fr.org/t/apache-ssl-basicconstraints-ca-true/54249>\
**Category:** Programmation\
**Created:** [Février 21, 2016, 12:52 UTC](https://www.debian-fr.org/t/apache-ssl-basicconstraints-ca-true/54249 "2016-02-21T12:52:00Z")\
**Posts on this page:** 5\
**Page:** 1

<div class="post-metadata">

**Author:** ![yoshx](https://www.debian-fr.org/letter_avatar_proxy/v4/letter/y/65b543/32.png) [@yoshx](https://www.debian-fr.org/u/yoshx)\
**Post date:** [Février 21, 2016, 12:52 UTC](https://www.debian-fr.org/t/apache-ssl-basicconstraints-ca-true/54249/1 "2016-02-21T12:52:00Z")

</div>

Bonjour,

J’essai de mettre en place du chiffrement ssl sur mon site mais cela ne fonctionne pas.  
Sous FF j’ai Error code: ssl\_error\_rx\_record\_too\_long.  
Dans le log d’apache error.log j’ai [warn] RSA server certificate is a CA certificate (BasicConstraints: CA == TRUE !?)

Ma config est la suivante, 3 serveurs dont 1 firewall, 1 reverse proxy et mon serveur web.  
J’ai accès à ma page web sans le chiffrement.

Je redirige le port 80 et 443 vers mon reverse proxy  
Lui il redirige les requêtes avec une url précise vers mon serveur web  
\<VirtualHost \*:80\>  
ServerName [domaine.fr](http://domaine.fr)  
ServerAlias [webmail.domaine.fr](http://webmail.domaine.fr)

# Redirect / [webmail.domaine.fr/](https://webmail.domaine.fr/)

```
   ProxyPass / [192.168.82.212:81/](http://192.168.82.212:81/)
    ProxyPassReverse / [192.168.82.212:81/](http://192.168.82.212:81/)
   <Proxy *>
    Order deny,allow
    Allow from all
    </Proxy>

```

et mon serveur web écoute sur le port 81  
NameVirtualHost \*:81  
Listen 81

\<VirtualHost \*:81\>  
Redirect / [webmail.domaine.fr/](https://webmail.domaine.fr/)  
  
\<VirtualHost \*:443\>  
ServerAdmin [root@domaine.fr](mailto:root@domaine.fr)  
ServerName [domaine.fr](http://domaine.fr)  
ServerAlias [webmail.domaine.fr](http://webmail.domaine.fr)  
SSLEngine on  
SSLCertificateFile /etc/apache2/server.crt  
SSLCertificateKeyFile /etc/apache2/server.key

ma commande hostname donne webmail et hostname --fqdn [webmail.domaine.fr](http://webmail.domaine.fr)

Je ne vois pas ou je me suis trompé.  
Lors de la génération de mon certificat, j’ai mis pour le CN [webmail.domaine.fr](http://webmail.domaine.fr) et juste [domaine.fr](http://domaine.fr) mais cela ne fonctionne pas.

Merci pour votre aide

---

<div class="post-metadata">

**Author:** ![lol](https://www.debian-fr.org/user_avatar/www.debian-fr.org/lol/32/15629_2.png) [@lol](https://www.debian-fr.org/u/lol)\
**Post date:** [Février 21, 2016, 12:52 UTC](https://www.debian-fr.org/t/apache-ssl-basicconstraints-ca-true/54249/2 "2016-02-21T12:52:01Z")

</div>

Salut,  
Pour commencer, regarde cette page: [question-defense.com/2008/10 … ts-ca-true](http://www.question-defense.com/2008/10/26/rsa-server-certificate-is-a-ca-certificate-basicconstraints-ca-true)

---

<div class="post-metadata">

**Author:** ![yoshx](https://www.debian-fr.org/letter_avatar_proxy/v4/letter/y/65b543/32.png) [@yoshx](https://www.debian-fr.org/u/yoshx)\
**Post date:** [Février 21, 2016, 12:52 UTC](https://www.debian-fr.org/t/apache-ssl-basicconstraints-ca-true/54249/3 "2016-02-21T12:52:01Z")

</div>

J’avais la première erreur mais plus maintenant depuis que j’ai fait en sorte que hostname et hostname --fqdn correspondent au CN de mon certificat.

---

<div class="post-metadata">

**Author:** ![yoshx](https://www.debian-fr.org/letter_avatar_proxy/v4/letter/y/65b543/32.png) [@yoshx](https://www.debian-fr.org/u/yoshx)\
**Post date:** [Février 21, 2016, 12:54 UTC](https://www.debian-fr.org/t/apache-ssl-basicconstraints-ca-true/54249/4 "2016-02-21T12:54:45Z")

</div>

Bonjour,

Une autre idée ?

---

<div class="post-metadata">

**Author:** ![Sikkin](https://www.debian-fr.org/letter_avatar_proxy/v4/letter/s/9de053/32.png) [@Sikkin](https://www.debian-fr.org/u/Sikkin)\
**Post date:** [Février 21, 2016, 12:54 UTC](https://www.debian-fr.org/t/apache-ssl-basicconstraints-ca-true/54249/5 "2016-02-21T12:54:45Z")

</div>

[quote=“yoshx”]Bonjour,

Une autre idée ?[/quote]  
Quelle fût la procédure de génération des certificats ?  
Une solution serait de définir une architecture simple (sans reverse proxy, l’écoute sur un seul port), la tester et la complexifier au fur et à mesure en ajoutant les fonctionnalités désirées.