# Certificat SSL acheté et après ? **URL:** \ **Category:** Support Debian\ **Created:** [Juin 5, 2018, 3:32 UTC](https://www.debian-fr.org/t/certificat-ssl-achete-et-apres/76897 "2018-06-05T15:32:52Z")\ **Posts on this page:** 9\ **Page:** 1
**Author:** ![tchup](https://www.debian-fr.org/user_avatar/www.debian-fr.org/tchup/32/4415_2.png) [@tchup](https://www.debian-fr.org/u/tchup)\ **Post date:** [Juin 5, 2018, 3:32 UTC](https://www.debian-fr.org/t/certificat-ssl-achete-et-apres/76897/1 "2018-06-05T15:32:52Z")
Bonjour à tous, je suis sur le point d’acheter un certificat SSL standard pour sécuriser 2 sites Web hébergés sous **Debian 8.10** + **apache 2.4.10**. J’ai commencé à me renseigner sur la modification de configuration apache2 (vhosts). J’aurais donc plusieurs questions afin de faire les choses correctement. 1/ est-il vrai qu’un certificat SSL standard une adresse du genre : “[domaine.fr](http://domaine.fr)” suffit à protéger mes 2 sites Web : [toto.domaine.fr](http://toto.domaine.fr) et [tutu.domaine.fr](http://tutu.domaine.fr) ? 2/ à quel endroit faut-il stocker le certificat obtenu par le CA ? ma clé privée ? 3/ quels droits faut il leur mettre ? 4/ est-il possible d’utiliser ce certificat pour accéder à Debian en SSH ? (si c’est une bonne idée) Merci d’avance ! 🙂 ---
**Author:** ![Almtesh](https://www.debian-fr.org/user_avatar/www.debian-fr.org/almtesh/32/10312_2.png) [@Almtesh](https://www.debian-fr.org/u/Almtesh)\ **Post date:** [Juin 5, 2018, 7:18 UTC](https://www.debian-fr.org/t/certificat-ssl-achete-et-apres/76897/2 "2018-06-05T19:18:21Z")
> [@tchup](#): > > Bonjour à tous, Bonjour. > [@tchup](#): > > 1/ est-il vrai qu’un certificat SSL standard une adresse du genre : “[domaine.fr](http://domaine.fr)” suffit à protéger mes 2 sites Web : [toto.domaine.fr](http://toto.domaine.fr) et [tutu.domaine.fr](http://tutu.domaine.fr) ? Non, il faut un wildcard `*.domaine.fr` pour faire ça. > [@tchup](#): > > 2/ à quel endroit faut-il stocker le certificat obtenu par le CA ? ma clé privée ? Normalement, on met la clef publique dans `/etc/ssl/certs` et la clef privée dans `/etc/ssl/private`. > [@tchup](#): > > 3/ quels droits faut il leur mettre ? Le serveur apache est lancé en tant que root quand il récupère les clefs et redescend en www-data après. Du coup, la clef publique doit être lisible par tout le monde et la clef privée ne doit être lisible que par root. > [@tchup](#): > > 4/ est-il possible d’utiliser ce certificat pour accéder à Debian en SSH ? (si c’est une bonne idée) Je crois que le type de la clef n’est pas la bonne, mais je ne suis pas sûr, à tester… > [@tchup](#): > > Merci d’avance ! 🙂 De rien. ---
**Author:** ![lc63](https://www.debian-fr.org/letter_avatar_proxy/v4/letter/l/9e8a1a/32.png) [@lc63](https://www.debian-fr.org/u/lc63)\ **Post date:** [Juin 5, 2018, 7:37 UTC](https://www.debian-fr.org/t/certificat-ssl-achete-et-apres/76897/3 "2018-06-05T19:37:03Z")
Pour le point 4/, SSH est plus basique que la norme X.509 et n’a pas besoin de certificat (un certificat encapsule entre autre une clé, une signature et des infos relatives au propriétaire). En ce sens les clés privées et publiques suffisent pour une authentification SSH, mais tu peux faire déjà beaucoup de choses ([https://ef.gy/hardening-ssh](https://ef.gy/hardening-ssh)). Pour info pour ton HTTPS/SSL, tu peux avoir des certificats **gratuits** et **certifiés par une autorité** ici : - let’s encrypt (Linux Fundation), qui propose une sorte d’API : [https://letsencrypt.org/](https://letsencrypt.org/) - utilisable par exemple via le client certbot sur une debian : [https://certbot.eff.org/](https://certbot.eff.org/) Certbot ne propose pas de wildcard sur debian 8/nginx (à voir pour apache) mais tu peux enregistrer plusieurs sous-domaines sans problème. J’utilise ça dans un cadre pro, aucun souci (faut juste ajouter un cron pour renouveler les certificats chaque mois, comme expliqué sur le site de certbot). ---
**Author:** ![jimbo](https://www.debian-fr.org/letter_avatar_proxy/v4/letter/j/d78d45/32.png) [@jimbo](https://www.debian-fr.org/u/jimbo)\ **Post date:** [Juin 5, 2018, 8:56 UTC](https://www.debian-fr.org/t/certificat-ssl-achete-et-apres/76897/4 "2018-06-05T20:56:06Z")
> [@tchup](#): > > je suis sur le point d’acheter un certificat SSL standard pour sécuriser 2 sites Web hébergés sous Debian 8.10 + apache 2.4.10. fait le avec let’s encrypt ---
**Author:** ![tchup](https://www.debian-fr.org/user_avatar/www.debian-fr.org/tchup/32/4415_2.png) [@tchup](https://www.debian-fr.org/u/tchup)\ **Post date:** [Juin 6, 2018, 8:14 UTC](https://www.debian-fr.org/t/certificat-ssl-achete-et-apres/76897/5 "2018-06-06T08:14:00Z")
Merci à tous pour vos réponses ! 1/ c’est ce que je croyais avant de lire cette note sur cette [page](https://wiki.gandi.net/fr/ssl/csr) : > [@](#): > > Pour les certificats une adresse, si vous générez votre CSR avec le domaine seulement, le sous-domaine www sera aussi sécurisé (ex : [exemple.com](http://exemple.com) et [www.exemple.com](http://www.exemple.com)). L’inverse est aussi vraie, et si vous générez la CSR avec le sous-domaine www, l’adresse avec le domaine nu sera aussi incluse dans votre certificat. > > Pour les certificats multidomaines; il faut déclarer explicitement chaque domaine ou sous domaine à couvrir. J’ai posé la même question au support Gandi… j’attends leur réponse. 2/ ok par contre dans `/etc/ssl/certs` : il n’y a que des liens symboliques pointant vers des fichiers PEM et CRT se trouvant dans `/usr/share/ca-certificates/mozilla/` : `lrwxrwxrwx 1 root root 84 avril 5 2017 GeoTrust_Primary_Certification_Authority_-_G2.pem -> /usr/share/ca-certificates/mozilla/GeoTrust_Primary_Certification_Authority_-_G2.crt` 3/ ok donc il me faut : ``` chmod 644 /etc/ssl/certs/my-certificat.crt chown root /etc/ssl/certs/my-certificat.crt chmod 600 /etc/ssl/private/my-private-key.key chown root /etc/ssl/private/my-private-key.key ``` ? 4/ je pense avoir compris pour la différence avec SSH… reste à lire ton lien et à mettre en pratique si c’est pas trop complexe. 😄 Pour ce qui est de **Let’s Encrypt** (que je ne connaissais pas) ça ne va pas être possible car mon client est obligé de travailler avec des entreprises françaises. Par contre, je vais surement m’en rapprocher pour un autre client ! 😉 ---
**Author:** ![jimbo](https://www.debian-fr.org/letter_avatar_proxy/v4/letter/j/d78d45/32.png) [@jimbo](https://www.debian-fr.org/u/jimbo)\ **Post date:** [Juin 6, 2018, 3:11 UTC](https://www.debian-fr.org/t/certificat-ssl-achete-et-apres/76897/6 "2018-06-06T15:11:26Z")
> [@tchup](#): > > Pour ce qui est de Let’s Encrypt (que je ne connaissais pas) ça ne va pas être possible car mon client est obligé de travailler avec des entreprises françaises. bon ben achetes 2 certificat pour chaque sous domaine pas le choix ---
**Author:** ![tchup](https://www.debian-fr.org/user_avatar/www.debian-fr.org/tchup/32/4415_2.png) [@tchup](https://www.debian-fr.org/u/tchup)\ **Post date:** [Juin 7, 2018, 7:47 UTC](https://www.debian-fr.org/t/certificat-ssl-achete-et-apres/76897/7 "2018-06-07T07:47:00Z")
Bonjour, 1/ alors en faite maintenant c’est plus clair… chez Gandi l’achat du domaine “[domaine.fr](http://domaine.fr)” intègre automatiquement (par défaut) le sous-domaine “[www.domaine.fr](http://www.domaine.fr)” (et seulement) 2/ j’ai obtenu mon premier certificat… que j’ai copié dans `/etc/ssl/certs/` et ma clé privée dans `/etc/ssl/private/` 3/ est-ce que les attributs suivants sont bons ? ```nohighlight chmod 644 /etc/ssl/certs/my-certificat.crt chown root /etc/ssl/certs/my-certificat.crt chmod 600 /etc/ssl/private/my-private-key.key chown root /etc/ssl/private/my-private-key.key ``` Merci d’avance ---
**Author:** ![anon29980398](https://www.debian-fr.org/letter_avatar_proxy/v4/letter/a/f4b2a3/32.png) [@anon29980398](https://www.debian-fr.org/u/anon29980398)\ **Post date:** [Juin 7, 2018, 11:32 UTC](https://www.debian-fr.org/t/certificat-ssl-achete-et-apres/76897/8 "2018-06-07T11:32:26Z")
Bonjour **tchup** > [@tchup](#): > > ```plaintext > chown root /etc/ssl/certs/my-certificat.crt > … > chown root /etc/ssl/private/my-private-key.key > > ``` Avec les deux lignes de commande **chown** que tu as entrées tu n’as changé en **root** que le nom du propriétaire, mais pas celui du groupe Tu peux corriger ça, avec les privilèges du compte super-utilisateur root, en lançant la ligne de commande suivante : ```plaintext chown root:root /etc/ssl/{certs/my-certificat.crt,private/my-private-key.key} ``` ---
**Author:** ![tchup](https://www.debian-fr.org/user_avatar/www.debian-fr.org/tchup/32/4415_2.png) [@tchup](https://www.debian-fr.org/u/tchup)\ **Post date:** [Juin 7, 2018, 1:42 UTC](https://www.debian-fr.org/t/certificat-ssl-achete-et-apres/76897/9 "2018-06-07T13:42:46Z")
effectivement ! merci d’avoir vu ça MicP 😉