Différences

Ci-dessous, les différences entre deux révisions de la page.

--- 150-crypt:050-letsencrypt [le 08/06/2025 à 16:12] – [Appel de certbot] prof
+++ 150-crypt:050-letsencrypt [le 10/06/2025 à 15:06] (Version actuelle) – [Renouvellement du certificat] prof
@@ Ligne 11: / Ligne 11: @@
   mail.home.nain-t.net.  	AAAA 	2a01:e0a:875:b1d0::10
 <note tip>«mail.home.nain-t.net» pourrait être un alias de «home.nain-t.net» du point de vue DNS. Cependant, nous verrons qu'il n'en est pas forcément de même pour le bon fonctionnement de SMTP.</note>
-===== Appel de certbot =====
+===== Usage de certbot =====
+Plusieurs possibilités s'offrent pour effectuer une demande de certificat à Let's Encrypt et par la suite à effectuer son renouvellement. L'outil «certbot» est certainement le plus souple et le plus simple d'emploi.
 Il est nécessaire que la CA puisse accéder à un serveur http implanté sur le demandeur. Si ce n'est pas le cas, certbot peut créer un mini serveur http temporaire, ce qui sera le cas ici.
 Tous les paramètres utilisables avec la commande «certbot» sont détaillés dans le manuel et [[https://eff-certbot.readthedocs.io/en/stable/|sur le site officiel]]. Nous exploitons ici une extension possible des certificats X509, qui permet d'utiliser le même certificat pour «home.nain-t.net» et «mail.home.nain-t.net».
+<note important>La procédure nécessite de disposer d'un serveur http sur le port 80. Si ce n'est pas le cas, «certbot» en ouvre un de façon temporaire, ce que nous faisons ici avec l'option ''--standalone''. Si le port 80 est déjà utilisé par un autre serveur, la procédure sera différente, où alors il faudra arrêter temporairement le serveur actif.</note>
 <html><pre class="code">
 <b>certbot certonly --standalone -d home.nain-t.net. -d mail.home.nain-t.net.</b>
@@ Ligne 131: / Ligne 135: @@
   - le choix de l'algorithme de courbe elliptique pour le chiffrement, actuellement considéré comme plus solide que RSA,
   - les «alternatives names» qui permettent d'utiliser le même certificat pour plusieurs URI, conformément à la demande.
+==== Et s'il y a déjà un serveur http ? ====
+Dans ce cas, certbot propose bien d'autres solutions. Trop nombreuses pour être traitées ici. [[https://eff-certbot.readthedocs.io/en/stable/using.html#getting-certificates-and-choosing-plugins|La documentation officielle]] détaille toutes les solutions possibles.
+==== Renouvellement du certificat ====
+Le problème est ici d'autant plus important que la durée de validité du certificat est de seulement trois mois. La norme prévoit de pouvoir renouveler un certificat existant, en en faisant la demande à la PKI.
+Debian 12 et suivantes, lors de l'installation de ''certbot'', a mis en place une tâche «cron» que l'on peut retrouver dans ''/etc/cron.d/certbot''. Elle a également installé les fichiers ''certbot.timer'' et ''certbot.service'' dans ''/usr/lib/systemd/system''
+<html><pre class="code">
+<b>systemctl status certbot.timer</b>
+<span class="hlg">● certbot.timer - Run certbot twice daily</span>
+     <span class="hly">Loaded: loaded</span> (/usr/lib/systemd/system/certbot.timer; enabled; preset: enabled)
+     <span class="hly">Active: active (waiting)</span> since Sun 2025-06-08 17:48:17 CEST; 1h 14min ago
+ Invocation: 49171d78e066413785a2920c493b3830
+    Trigger: Mon 2025-06-09 01:14:30 CEST; 6h left
+   <span class="hly">Triggers: ● certbot.service</span>
+</pre></html>
+==== Les points de raccordement ====
+les «hooks» permettent de faire appel à des scripts personnels durant certaines étapes du processus de renouvellement de certificats. Sur Debian, ces scrips peuvent être placés dans ''/etc/letsencrypt/renewal-hooks''à trois étapes particulières:
+  - avant le début du processus dans le sous-répertoire ''pre'',
+  - lors du déploiement du renouvellement réussi dans le sous-répertoire ''deploy'',
+  - à la fin du processus dans le sous-répertoire  ''post''.