Let's Encrypt : Configurez votre certificat pour avoir une note de A+ sur SSLabs

[Houssen Moshinaly]

Je suis tombé sur cet article qui explique comment configurer son certificat SSL par Let’s Encrypt sur SSLLab, un service qui teste la sécurité de votre SSL. A+ étant la note la plus élevée. J’ai réussi à avoir la note A+, mais ça a failli me couter très cher. L’auteur ne semble pas connaitre toutes les options dans le fichier de configuration et je vous propose ma version avec seulement quelques légères modifications.

Dans mon fichier de configuration, j’ai désactivé 2 options en les commentant (en mettant un dièse devant la ligne).

# Use the DHPARAM key and ECDH curve >= 256bit
# ssl_ecdh_curve secp384r1;
# ssl_dhparam /etc/nginx/dhparam.pem;

Dans le tutoriel de base, l’auteur utilise le dhparam pour générer une clé de 4096 bits. Evitez le, car d’une part, 4096 bits n’est pas du tout nécessaire. Cela va poser des problèmes avec certains navigateurs. Et surtout, si vous utilisez cette commande sur votre serveur, alors attendez-vous à patienter 6 ou 12 heures parce qu’il faut une plombe pour générer une telle clé. La clé de base de Let’s Encrypt est de 2048 bits et c’est largement suffisant.

Ensuite, j’ai aussi désactivé ces deux options.

# add_header X-Frame-Options DENY;
# add_header X-Robots-Tag none;

Si vous activez la première, alors cela va vous poser des problèmes pour les Frames sur votre site. Par exemple, si vous utilisez WordPress et le plugin Pixabay, cette option va bloquer l’affichage de la fenêtre. Mais c’est la seconde option qui est la plus catastrophique, car

# add_header X-Robots-Tag none;

Indique de mettre tout votre site en noindex ! Cela signifie que Google ou aucun moteur de recherche ne pourra indexer votre site. Moi, comme un con, j’avais mis le fichier de configuration avec cette option activée sur plusieurs de mes sites et résultats, en quelques jours, Google a commencé à faire disparaitre mes pages de son index. Heureusement que j’ai résolu le problème très rapidement. Et même en désactivant ces options, vous aurez toujours la note A+.

Pour ceux ont déjà un certificat Let’s Encrypt, vous n’ avez pas besoin de suivre tout le tutoriel de base dans l’article ci-dessus. Tout ce que vous avez besoin de faire est de créer un fichier ssl.conf dans le répertoire snippets de nginx sur votre serveur. Ensuite, vous ajoutez ce fichier de configuration dans la configuration de votre site dans le répertoire sites-available :

Si vous avez plusieurs sites sur le même serveur. Alors je n’ignore comment utiliser le même fichier de configuration SSL pour tous les sites. A la place, j’ai crée autant de fichiers de configuration SSL que nécessaire tels que site1ssl.conf, site2ssl.conf, etc je les ai intégré dans leur fichier de configuration dans le répertoire sites-available.

[Auteur]

Messages