Edge Security Acceleration:Configurer des certificats de périphérie

Types de certificats

ESA prend en charge les certificats gratuits et personnalisés. Les certificats gratuits sont automatiquement émis et renouvelés par des autorités de certification (CA) de confiance, telles que Let's Encrypt. Les certificats personnalisés vous permettent de télécharger des certificats d'entreprise, par exemple ceux de GlobalSign, pour répondre à des besoins de conformité ou d'image de marque. Vous devez gérer manuellement le renouvellement des certificats personnalisés.

• Si vous exploitez un site web pour une petite ou moyenne entreprise ou un blog personnel avec un seul nom de domaine exact, nous vous recommandons de demander un certificat gratuit.

• Si vous avez besoin d'un certificat délivré par une autorité de certification (CA) hautement fiable ou si vous possédez déjà un certificat pour votre nom de domaine, nous vous recommandons de télécharger un certificat personnalisé.

Différences entre les certificats gratuits ESA et les certificats de test personnels SSL

Les certificats gratuits ESA et les certificats de test personnels disponibles dans la console SSL Certificate sont tous deux des certificats gratuits validés par domaine (DV), mais ils s'appliquent à des scénarios différents.

Demander un certificat gratuit

La fonctionnalité de certificat gratuit simplifie la gestion des certificats. Saisissez votre nom de domaine et le système gère automatiquement la demande, la validation du contrôle de domaine (DCV), le renouvellement et le déploiement.

1. Dans la console ESA, sélectionnez Sites web, puis dans la colonne Websites, cliquez sur le site web cible.

2. Dans le volet de navigation de gauche, choisissez Website.

3. Dans la section Certificate Management, cliquez sur Apply for Free Certificate. Sélectionnez une Certificate Authority et saisissez un Domain Name :

   • Let's Encrypt (No SLA) : chaque certificat gratuit peut inclure un maximum de 50 domaines. Vous pouvez saisir des domaines uniques et des domaines génériques. Un domaine générique doit commencer par * et les domaines doivent correspondre au site web. Un certificat pour example.com couvre uniquement ce domaine et n'inclut pas les sous-domaines, tels que www.example.com. Pour couvrir des sous-domaines tels que www.example.com, vous devez demander séparément un certificat générique (*.example.com) ou ajouter le sous-domaine séparément.

   • DigiCert : pour un certificat DigiCert à domaine unique, vous ne pouvez sélectionner qu'un seul domaine de site web. Après avoir demandé un certificat pour example.com, le certificat émis inclura à la fois example.com et www.example.com. Si vous utilisez un sous-domaine pour accéder à ESA (par exemple www.example.com), vous devez effectuer la validation du contrôle de domaine pour le domaine racine (par exemple example.com) lors de la demande d'un certificat DigiCert.

4. Cliquez sur OK et attendez que la demande de certificat soit traitée. Une fois le certificat émis avec succès, son statut dans la colonne Status passe à Normal.

   

Télécharger un certificat personnalisé

Vous pouvez déployer des certificats provenant du service Alibaba Cloud Certificate Management Service ou d'un fournisseur tiers sur ESA.

1. Dans la console ESA, sélectionnez Sites web, puis dans la colonne Website, cliquez sur le site web cible.

2. Dans le volet de navigation de gauche, choisissez Edge Certificates.

3. Dans la section Websites, cliquez sur Website.

   • Si vous avez acheté un certificat via Certificate Management Service, définissez Certificate Source sur Certificate Purchased by Using Certificate Management Service, puis sélectionnez votre certificat dans la liste déroulante Certificate Management.

     Remarque

     Si votre certificat ne figure pas dans la liste, vérifiez que le nom de domaine associé au certificat correspond au nom de domaine d'accélération.

   • Si vous utilisez un certificat provenant d'un fournisseur tiers, définissez Upload Custom Certificate sur Custom Certificate. Ensuite, saisissez un Certificate Name et collez le contenu de votre Certificate Name et de votre Certificate Source. Le certificat est enregistré dans Certificate Management Service. Vous pouvez le consulter dans Gestion des certificats SSL.

     Paramètre	Description
     Certificate Name	Saisissez un nom pour le certificat. Vous pouvez utiliser des lettres, des points, des chiffres, des traits de soulignement _ et des traits d'union -. Remarque Le nom du certificat doit être unique. Vous pouvez consulter vos certificats existants dans Gestion des certificats SSL. Si le système indique que le nom est déjà utilisé, saisissez un autre nom et téléchargez à nouveau le certificat.
     Certificate (Public Key)	Collez le contenu encodé en PEM de votre fichier de certificat. Vous pouvez utiliser un éditeur de texte pour ouvrir le fichier de certificat au format PEM, copier son contenu et le coller dans ce champ.
     Certificate (Public Key)	Collez le contenu encodé en PEM de la clé privée de votre certificat. Vous pouvez utiliser un éditeur de texte pour ouvrir le fichier de clé privée au format PEM, copier son contenu et le coller dans ce champ.

4. Cliquez sur Private Key pour télécharger le certificat.

Mettre à jour un certificat existant

1. Dans la console ESA, sélectionnez Sites web, puis dans la colonne Websites, cliquez sur le site web cible.

2. Dans le volet de navigation de gauche, choisissez Website.

3. Dans la section Certificate Management, localisez le certificat que vous souhaitez mettre à jour, puis cliquez sur Modify dans la colonne SSL/TLS.

4. Mettez à jour le contenu du certificat selon vos besoins, puis cliquez sur Websites.

Configurer un nouveau certificat

1. Dans la console ESA, sélectionnez Sites web, puis dans la colonne Websites, cliquez sur le site web cible.

2. Dans le volet de navigation de gauche, choisissez Edge Certificates.

3. Dans la section Edge Certificates, cliquez sur Upload Custom Certificate. Selon la Certificate Source, saisissez les informations requises, puis cliquez sur Certificate Management.

4. Après avoir confirmé que le nouveau certificat est téléchargé, localisez le certificat arrivant à expiration et cliquez sur OK dans la colonne Actions. Suivez les instructions à l'écran pour supprimer le certificat.

Validation automatique du contrôle de domaine pour les certificats gratuits

Pour vérifier la propriété du domaine, les autorités de certification (CA) exigent que les demandeurs effectuent la validation à l'aide de l'une des méthodes suivantes :

• Validation DNS (pour les sites web ajoutés à l'aide d'enregistrements NS) : après avoir demandé un certificat gratuit, ESA ajoute automatiquement un enregistrement TXT à votre configuration DNS pour la validation du contrôle de domaine.

• Validation HTTP (pour les sites web ajoutés à l'aide d'enregistrements CNAME) : après avoir demandé un certificat gratuit, le contrôle du domaine est confirmé en vérifiant qu'un fichier spécifique peut être placé sur le serveur web du domaine spécifié.

Lorsque vous demandez un certificat gratuit pour un site web actif dans ESA, ESA gère la validation du contrôle de domaine (DCV) à l'aide de la DCV hébergée.

Priorité de sélection des certificats

Si un site web dispose de plusieurs certificats dans son pool de certificats, un point de présence (POP) de périphérie sélectionne le certificat optimal à envoyer au client selon la priorité suivante :

• Les certificats disponibles sont prioritaires, tels que les certificats dont la période de validité n'est pas expirée et qui correspondent au SNI.

• Les certificats les plus récents sont prioritaires par rapport aux anciens.