Nom de domaine Free non sécurisé malgré certificat TLS/RSA

[Bernardt60 (Auteur du topic)]

Bonjour,

J'avais créé un nom de domaine personnalisé "monnomdomaine.hd.free.fr" pour serveur apache sur Raspberry Pi servant à transmettre les données d'une station météo avec certificat TLS/RSA. Avec Firefox pas de problème, j'accédais bien en https à mon site perso, mais avec Chrome j'avais le message comme quoi le site n'est pas sécurisé, certificat non valide.

Je suis donc allé sur les paramètres de la Freebox (révolution, Freebox OS 4.7) par mafreebox.freebox.fr et j'ai constaté qu'il n'y avait plus dans Nom de domaine personnalisé la partie certificat TLS/RSA. J'ai donc ajouter un nom de domaine "monnomdedomaine.Freebox OS.fr" avec certificat TLS/RSA en état valide, et j'ai supprimé "monomdedomaine.hd.free.fr".

Mais si j' accède en https sur Firefox ou Chrome sur ce nouveau nom de domaine j'ai le message "Attention, risque probable de sécurité", et chose curieuse j'ai toujours accès en https à mon ancien nom de domaine sous Firefox et le message sous Chrome de site non sécurisé bien que l'ai supprimé dans les paramètres de la Freebox.

J'ai effectué ces changements hier, faut-il que j'attende encore pour la prise en compte ou quelles sont les opérations nécessaires à effectuer pour avoir un site en https sécurisé malgré le certificat TLS/RSA valide ?

Merci d'avance.

[loggoi]

Le certificat généré par Freebox OS ne peut servir QUE pour Freebox OS, pas pour vos appareils sur le réseau.

A vous de générer et d'installer vous même votre certificat pour Apache (soit avec un certificat auto-signé, soit via Let's Encrypt par exemple).

[FreeWave]

Vous provoquez un téléscopage entre 2 serveurs Web qui ont la même adresse et la même URL.

L'adresse en Freebox OS.fr renvoie OBLIGATOIREMENT à un serveur Web interne à la Freebox et sert exclusivement à accéder aux fonctionnalités de Freebox OS (VPN, accès à l'interface de gestion...). Il faut veiller à changer le port de connexion (qui est par défaut 443) si vous avez par ailleurs un serveur Web qui utilise ce port.

Concernant votre serveur apache qui écoute sur le port par défaut 443, mais avec la même adresse IP, vous ne pouvez pas utiliser le même nom de domaine que Freebox OS. Vous pouvez utlisez monnomdedomaine.hd.free.fr comme c'était à l'origine MAIS vous ne devez pas faire l'erreur de faire une demande de certificat dans l'interface Freebox OS pour ce nom de domaine car dans ce cas, cette adresse va pointer vers le serveur Freebox interne par une règle de redirection, et plus vers votre site.

Ce nom a sans doute disparu de lui-même car à un moment donné la box s'est rendu compte qu'il y avait un conflit de serveur Web.

Votre serveur apache doit être paramétré avec un certificat DISTINCT qui ne doit JAMAIS apparaitre dans votre interface Freebox OS, car là vous créez une embrouille. Si vous savez monter un serveur apache, vous devriez commaitre un minimum sur Linux. Donc il faut installer les paquets nécessaires à la mise en oeuvre locale ET autonome d'un certficat de type "let's encrypt", avec des utilitaires qui vont automatiquement demander le renouvellent du certficat peu avant leur expiration, exactement comme le fait Freebox OS pour le nom de domaine Freebox OS.fr

Si vous choisissez un certificat "auto signé" en effet certains navigateurs ne vont pas reconnaitre ce certficat et vont vous alerter sur un risque de sécurité. Concernant Firefox, soit il est plus permissif et accepte sans broncher les certificats auto signés, mais je ne me rappelle plus trop bien, et vu les évolutions récentes de Firefox devenu paranoiaque, ca me surprendrait, soit vous avez importé manuellement votre certificat dans Firefox comme certificat de confiance.... et vous ne vous en souvenez plus.

Je crois que c'est une particularité de Firefox d'avoir son propre magasin de certificats indépendant du système d'exploitation.

Si vous validez un certificat auto signé en tant que certficat de de confiance au niveau du système d'exploitation, il sera reconnu par tous les navigateurs. Si vous validez ce même certificat uniquement dans Firefox, seul Firefox reconnaitra ce certficat.

C'est bien pour cela que vous ai parlé des certificats "let's encrypt" qui eux sont reconnus officiellement sans avoir à forcer quoique ce soit, et ne génèreront pas d'alerte, mais c'est au niveau de la distributon Linux qui gère le serveur Apache d'effectuer un paramétrage, pas au niveau de l'interface Freebox OS, dont vous n'aviez pas bien compris l'usage.

[Bernardt60 (Auteur du topic)]

Ah OK ! Merci FreeWare.

Je n'avais pas percuté que l'adresse en Freebox OS renvoyait au serveur interne de la Freebox. Tout fonctionne en https sur mon serveur apache ur raspberry avec avec le nom de domaine en.hd.free.fr et l'obtention du certificat via Let's encrypt.