Cette rubrique répond aux questions fréquentes sur les concepts, les fonctionnalités et les cas d'utilisation de SSL/TLS.
Comment résoudre les avertissements de risque liés au certificat ?
Problème
Les navigateurs affichent un avertissement de risque lié au certificat lorsque vous accédez à un domaine, même après avoir configuré un certificat HTTPS pour celui-ci dans la console Edge Security Accelerator (ESA).
Causes et solutions
Certificat expiré : Renouvelez votre certificat, puis mettez-le à jour dans la console ESA. Si vous avez acheté votre certificat via le service Alibaba Cloud SSL Certificates Service, reportez-vous à la rubrique Renouvellement et expiration des certificats SSL pour le renouveler, puis mettez à jour le certificat.
Heure système incorrecte : Une horloge système incorrecte peut amener les navigateurs à interpréter à tort un certificat valide comme étant expiré ou invalide. Vérifiez que l'heure système de votre ordinateur est correcte, puis essayez d'accéder à nouveau au site web.
Certificat auto-signé : Un certificat auto-signé n'est pas émis par une autorité de certification (CA) de confiance. Les navigateurs ne font pas confiance aux certificats auto-signés car ils sont vulnérables à l'usurpation d'identité et aux attaques de type « man-in-the-middle », ce qui déclenche des avertissements de sécurité. Nous vous recommandons de le remplacer par un certificat émis par une CA de confiance. Vous pouvez acheter un certificat auprès du Alibaba Cloud SSL Certificates Service.
Contenu mixte : Ce problème survient lorsqu'une page HTTPS sécurisée charge des ressources non sécurisées via HTTP. Mettez à jour tous les liens de ressources pour utiliser HTTPS.
Version TLS obsolète : SSL/TLS comprend plusieurs protocoles : SSLv2, SSLv3, TLSv1.0, TLSv1.1, TLSv1.2 et TLSv1.3. Seuls TLSv1.2 et TLSv1.3 sont actuellement considérés comme sécurisés. Dans la console ESA, désactivez les anciens protocoles non sécurisés et activez uniquement TLSv1.2 ou TLSv1.3. Pour plus d'informations, consultez la rubrique Configurer la version TLS et les suites de chiffrement.
Suite de chiffrement faible : La suite de chiffrement sélectionnée est probablement faible ou obsolète. Utilisez une suite de chiffrement moderne offrant un chiffrement robuste, telle qu'une suite basée sur AES-GCM 128 bits.
Expiration des certificats gratuits ESA
ESA renouvelle automatiquement les certificats gratuits sans affecter le certificat actuellement déployé pour votre domaine :
Période de renouvellement automatique : ESA tente de renouveler automatiquement votre certificat gratuit 30 jours avant son expiration. Vous n'avez pas besoin de faire une nouvelle demande, et le renouvellement n'est pas comptabilisé dans votre quota de certificats.
Risque d'échec du renouvellement : Comme Let's Encrypt délivre les certificats gratuits, le renouvellement peut échouer en raison d'erreurs de résolution DNS ou d'échecs de validation.
Si le renouvellement automatique échoue, ESA vous en informe par SMS et par e-mail. Vous devez alors télécharger manuellement un nouveau certificat pour éviter toute interruption de service.
Transmission du certificat client en mode proxy de couche 4
ESA propose deux modes de gestion du certificat client, selon vos besoins métier :
**Le nœud ESA termine la connexion TLS (mTLS standard)** : Dans ce mode, le nœud ESA agit comme point de terminaison TLS, et le certificat client est validé au niveau du nœud ESA. Cela sécurise la liaison entre le client et ESA. Pour configurer ce mode, consultez la rubrique Configurer le certificat client.
Proxy de couche 4 (transmission TCP) : Pour mettre en œuvre une authentification mTLS de bout en bout, où le certificat client est transmis directement au serveur d'origine pour validation, utilisez la fonctionnalité de proxy de couche 4 d'ESA. Dans ce mode, ESA ne termine pas la connexion TLS ni ne remplace le certificat. Au lieu de cela, le handshake TLS du client est transmis directement au serveur d'origine pour compléter le processus mTLS. Cette fonctionnalité nécessite une mise à niveau vers l'édition Enterprise. Pour plus d'informations sur le proxy de couche 4, consultez la rubrique Proxy de couche 4.
L'expiration d'un certificat CAS affecte-t-elle mon site ESA ?
Non. ESA utilise des certificats de bord qu'il gère lui-même, et ces certificats sont indépendants de ceux du service SSL Certificates Service (CAS). Après la connexion de votre site à ESA, ESA gère les certificats de bord. Les certificats gratuits sont valables pendant 3 mois et sont renouvelés automatiquement 30 jours avant leur expiration. L'expiration d'un certificat dans la console CAS n'affecte pas l'accès HTTPS à votre site ESA. Si vous utilisiez précédemment un certificat gratuit de CAS, ESA prend en charge la gestion des certificats après votre migration vers ESA, et votre site web utilise le certificat de bord ESA.
Qu'est-ce que HTTPS ?
Hypertext Transfer Protocol Secure (HTTPS) est la version sécurisée du protocole HTTP. Il chiffre les données envoyées entre un client et un serveur, les protégeant ainsi contre l'interception ou la modification. Alors que le protocole HTTP standard transmet les données en clair, HTTPS utilise les protocoles SSL/TLS pour établir une connexion sécurisée et chiffrée. Il fournit à la fois l'authentification et le chiffrement, ce qui le rend essentiel pour les communications sensibles telles que les paiements en ligne. Pour configurer HTTPS sur ESA, suivez le guide Démarrage rapide SSL/TLS. Ce processus déploie un certificat sur tous les nœuds ESA afin de garantir le chiffrement des données sur l'ensemble du réseau.