Object Storage Service:Access OSS over HTTPS

Étape 1 : configurer l'hébergement du certificat

Hébergez un certificat SSL dans OSS pour activer l'accès chiffré HTTPS sur un nom de domaine personnalisé.

1. Accédez à la page Buckets. Cliquez sur le bucket cible. Dans le volet de navigation de gauche, cliquez sur Bucket Settings > Domain Names.

2. Dans la colonne Actions du nom de domaine personnalisé cible, cliquez sur Certificate Hosting. Sélectionnez un certificat dans la liste déroulante Certificate Name. Si le certificat souhaité n'apparaît pas, accédez à la page SSL Certificate Management et vérifiez qu'il remplit les conditions suivantes :

   • Le certificat est émis et valide.

   • Le certificat couvre bien le nom de domaine que vous configurez.

3. Cliquez sur Upload Certificate pour finaliser la configuration de l'hébergement du certificat.

   

Étape 2 : vérifier l'accès HTTPS

Une fois l'hébergement du certificat effectif, vérifiez la configuration en accédant à une ressource depuis un navigateur.

1. Accédez à la page Buckets et cliquez sur le nom du bucket cible.

2. Dans la colonne Actions du fichier objet auquel vous souhaitez accéder, cliquez sur View Details.

3. Définissez Domain Name sur Custom Domain Name. Dans la liste déroulante, sélectionnez le nom de domaine personnalisé mappé. Cliquez ensuite sur Copy Object URL.

4. Accédez à l'URL dans un navigateur pour vérifier l'accès chiffré HTTPS. La barre d'adresse du navigateur doit afficher une icône de cadenas, indiquant que la connexion est chiffrée.

   

Étape 1 : configurer le certificat HTTPS CDN

Configurez un certificat SSL pour le nom de domaine accéléré dans la console CDN afin d'activer l'accélération sécurisée HTTPS.

1. Accédez à la console CDN. Cliquez sur le nom de domaine accéléré cible. Cliquez sur HTTPS. En regard de HTTPS Certificate, cliquez sur Modify.

2. Sélectionnez HTTPS Secure Acceleration. Lisez l'avertissement de facturation et cliquez sur OK.

3. Dans la liste déroulante Certificate Source, sélectionnez un certificat SSL ou saisissez les informations d'un certificat tiers.

   • SSL Certificates Service : dans la liste déroulante Certificate Name, sélectionnez un certificat. Si le certificat cible n'apparaît pas, accédez à la page SSL Certificate Management et vérifiez qu'il remplit les conditions suivantes :

     • Le certificat a été émis et se trouve dans sa période de validité.

     • Le certificat couvre bien le nom de domaine que vous configurez.

   • Custom Certificate (Certificate + Private Key) : saisissez le Certificate Name, le Certificate (Public Key) et la Private Key.

4. Cliquez sur OK pour terminer la configuration du certificat HTTPS.

   

Étape 2 : vérifier l'accès HTTPS via CDN

Le déploiement de la configuration HTTPS prend environ une minute. Vérifiez-la en accédant à une ressource OSS via HTTPS (par exemple, https://example.com/dest.jpg, où example.com est votre nom de domaine accéléré). Une icône de cadenas dans la barre d'adresse du navigateur confirme que la transmission est chiffrée.

Bonnes pratiques

• Imposer l'accès HTTPS : configurer une politique de contrôle d'accès

  Imposez HTTPS à tous les clients pour éviter l'interception des données et respecter les exigences de conformité.

  • Pour les noms de domaine personnalisés, refusez toutes les requêtes HTTP en configurant une politique de bucket.

    Exemple de configuration

    Accédez à la page Buckets. Cliquez sur le bucket cible. Dans le volet de navigation de gauche, cliquez sur Access Control > Bucket Policy. Sélectionnez Add by Syntax pour ajouter la politique de bucket suivante.

    Lors de l'ajout de la politique, remplacez bucketname dans l'exemple de configuration par le nom de votre bucket.

    {
    	"Version": "1",
    	"Statement": [{
    		"Effect": "Deny",
    		"Action": [
    			"oss:*"
    		],
    		"Principal": [
    			"*"
    		],
    		"Resource": [
    			"acs:oss:*:*:bucketname",
    			"acs:oss:*:*:bucketname/*"
    		],
    		"Condition": {
    			"Bool": {
    				"acs:SecureTransport": [
    					"false"
    				]
    			}
    		}
    	}]
    }

    Après la configuration de la politique de bucket, toutes les requêtes HTTP sont refusées.

    

  • Pour les noms de domaine accélérés par CDN, configurez une redirection forcée ou activez HTTP Strict Transport Security (HSTS) pour contraindre les clients à utiliser HTTPS et renforcer ainsi le niveau de sécurité global.

    Exemple de configuration

    • Configurer une redirection forcée

      Accédez à la page de la console CDN. Cliquez sur le nom de domaine accéléré cible. Cliquez sur HTTPS, puis, en regard de HTTP/S Redirect, cliquez sur Modify. Configurez la redirection comme illustré ci-dessous. Une fois la configuration terminée, CDN utilise une redirection 301 pour transformer les requêtes HTTP des clients vers les nœuds CDN en requêtes HTTPS.

      

    • Activer HSTS

      Accédez à la page de la console CDN. Cliquez sur le nom de domaine accéléré cible. Cliquez sur HTTPS, puis, en regard de HSTS, cliquez sur Modify. Activez HSTS comme illustré ci-dessous. Une fois la configuration terminée, les requêtes HTTP des clients sont automatiquement converties en requêtes HTTPS.

      

• Renouvellement automatique : gérer le cycle de vie des certificats

  Les certificats SSL ont une durée de validité fixe : un certificat expiré entraîne des interruptions de service. Surveillez les dates d'expiration et renouvelez-les au moins 30 jours à l'avance. Pour les certificats Alibaba Cloud, activez l'hébergement de certificats afin d'automatiser les renouvellements. Pour les certificats tiers, mettez en place un processus de mise à jour régulier.

• Optimisation des performances : activer HTTP/2 et la compression

  HTTP/2 offre le multiplexage, la compression des en-têtes et le push serveur, ce qui améliore la vitesse de chargement des pages par rapport à HTTP/1.1. Activez le protocole HTTP/2 et la compression Gzip dans votre configuration CDN pour réduire la bande passante consommée et améliorer les performances.

Atténuation des risques

• Plan de secours en cas de défaillance de certificat : mettre en place un mécanisme de certificat de sauvegarde

  Préparez un certificat SSL de secours émis par une autre autorité de certification (CA) pour les systèmes critiques. En cas de défaillance du certificat principal, basculez sur le certificat de secours afin de minimiser les temps d'arrêt.

• Politique de repli d'accès : revenir temporairement à HTTP en cas d'urgence

  Conservez un plan d'urgence permettant de revenir temporairement à HTTP si un problème majeur de certificat survient. Documentez la procédure, renforcez la surveillance et rétablissez HTTPS dès que possible.

Contexte

Début 2023, Mozilla a mis en œuvre une politique consistant à ne plus faire confiance aux certificats racines de plus de 15 ans pour l'authentification des serveurs. En vertu de cette politique, GlobalSign Root R1 est devenu invalide le 15 avril 2025. Consultez la politique de cycle de vie des CA racines de Mozilla et l'avis de mise à niveau des certificats racines de GlobalSign.

Stratégie de réponse d'OSS

Alibaba Cloud OSS a adopté les stratégies suivantes pour assurer une transition fluide.

• Plan de mise à jour des certificats

  Depuis le 1er juillet 2024, les nouveaux certificats émis par OSS utilisent GlobalSign Root R3. Cela garantit la compatibilité avec les dernières normes de sécurité et évite les interruptions d'accès liées aux changements de politique de confiance des certificats racines.

• Solution de compatibilité croisée des certificats

  Les certificats OSS existants utilisent des certificats croisés pour migrer de GlobalSign Root R1 vers R3. Le certificat croisé basé sur R1 expire le 28 janvier 2028. Les demandes de certificat devant être soumises 13 mois avant l'expiration, finalisez tous les préparatifs de mise à jour du certificat racine avant le 28 décembre 2026.

• Plans futurs et recommandations

  Mozilla cessera de faire confiance à GlobalSign Root R3 le 15 avril 2027, et ce certificat expirera le 18 mars 2029. Assurez-vous que votre liste de certificats racines inclut GlobalSign R1, R3, R6 et R46 afin d'anticiper les futures rotations.

Actions requises de votre part

Pour la plupart des utilisateurs, aucune action n'est requise. Les systèmes d'exploitation modernes (Windows 7+, macOS 10.12.1+, principales distributions Linux des cinq dernières années) et les navigateurs (Chrome, Firefox, Safari) mettent automatiquement à jour leurs magasins de certificats racines.

Suivez les étapes ci-dessous uniquement si vous rencontrez des erreurs de certificat lors de l'accès à OSS via HTTPS sur des systèmes d'exploitation obsolètes, des appareils embarqués ou des clients personnalisés non mis à jour.

ls /etc/ssl/certs/ | grep GlobalSign

Comment mettre à jour un certificat remplacé ou expiré ?

La procédure de mise à jour est identique à la configuration initiale. Choisissez le chemin de mise à jour correspondant à votre type de nom de domaine.

• Nom de domaine personnalisé OSS : accédez à la page Buckets, puis, dans la section Certificate Hosting de la gestion des domaines du bucket cible, sélectionnez le nouveau certificat.

• Nom de domaine accéléré par CDN : accédez à la console CDN. Dans les paramètres HTTPS du nom de domaine accéléré cible, sélectionnez ou importez le nouveau certificat.

Pourquoi mon navigateur affiche-t-il toujours un message « non sécurisé » ou « erreur de certificat » après la configuration d'un certificat SSL ?

Si un avertissement de sécurité persiste après la configuration, résolvez le problème comme suit :

• Vérifiez l'emplacement de la configuration : si l'accélération CDN est activée, configurez HTTPS dans la console CDN. Le paramètre d'hébergement de certificats d'OSS ne s'applique pas aux domaines accélérés par CDN.

• Videz le cache du navigateur : le navigateur a peut-être mis en cache l'ancien état du certificat. Videz le cache et réessayez.

• Patientez jusqu'à l'application de la configuration : le déploiement des configurations de certificats peut prendre quelques minutes.

• Contrôlez l'intégrité de la chaîne de certificats : les certificats issus de CA intermédiaires contiennent plusieurs certificats. Concaténez le certificat serveur avec le certificat intermédiaire pour former une chaîne complète avant l'import.

Comment traiter les exceptions de certificat lors de l'accès à OSS via HTTPS ?

La résolution dépend du type d'exception :

• Certificat non configuré : le navigateur affiche « Votre connexion n'est pas privée », accompagné du message d'erreur NET::ERR_SSL_PROTOCOL_ERROR. Cette erreur peut indiquer que le certificat est manquant ou configuré au mauvais endroit (par exemple, utilisation de l'hébergement de certificats dans OSS alors que l'accélération CDN est activée). Reconfigurez HTTPS selon la méthode appropriée.

• Certificat expiré : le navigateur affiche « Votre connexion n'est pas privée », accompagné du message d'erreur NET::ERR_CERT_DATE_INVALID. Le certificat associé au domaine a expiré. Consultez la date d'expiration dans le navigateur. Achetez ou demandez un nouveau certificat, puis mettez-le à jour en suivant la procédure de configuration.

• Incompatibilité de certificat : le navigateur affiche « Votre connexion n'est pas privée », accompagné du message d'erreur NET::ERR_CERT_COMMON_NAME_INVALID. Le domaine figurant dans l'URL d'accès ne fait pas partie des domaines couverts par le certificat. Par exemple, le domaine d'accès est cdn.example.com, mais le certificat est associé à oss.example.com. Configurez le certificat correct pour le domaine d'accès.

Pourquoi le certificat cible n'apparaît-il pas dans la liste déroulante lors de la sélection ?

Plusieurs raisons peuvent expliquer l'absence du certificat dans la liste déroulante :

• Incompatibilité entre le certificat et le nom de domaine : le système n'affiche que les certificats correspondant au domaine en cours de configuration. Par exemple, lors de la configuration d'un certificat pour oss.example.com, vous ne pouvez pas sélectionner un certificat émis pour cdn.example.com.

• Le certificat n'appartient pas au compte actuel : vérifiez si le certificat appartient bien au compte Alibaba Cloud en cours d'utilisation. Dans le cas contraire, importez-le sur la page SSL Certificate Management.

• Incompatibilité de niveau du certificat générique : un certificat générique ne couvre que les sous-domaines de même niveau. Par exemple, *.example.com correspond à www.example.com et à oss.example.com, mais pas à cdn.oss.example.com.

Lors de la configuration d'un certificat HTTPS dans CDN, un message indique que le format du certificat est incorrect. Comment convertir ce format ?

La configuration HTTPS de CDN ne prend en charge que les certificats au format PEM. Les différentes CA imposent des exigences distinctes pour l'import du contenu des certificats. Si votre certificat n'est pas au format PEM, consultez la rubrique Format de certificat. Suivez les instructions de ce document pour convertir le format avant l'import.

Comment mettre à jour un certificat via la ligne de commande ou une API ?

• Nom de domaine accéléré par CDN : utilisez le CLI Alibaba Cloud pour définir le certificat du domaine CDN. Consultez Exemple d'intégration du CLI Cloud Assistant et l'API SetDomainServerCertificate.

• Nom de domaine personnalisé OSS : utilisez ossutil pour associer un certificat à un nom de domaine personnalisé. Consultez la commande put-cname. La mise à jour du certificat n'affecte ni l'enregistrement CNAME existant, ni son association au bucket. Vous n'avez pas besoin de recréer l'enregistrement CNAME ni le bucket.

Comment désactiver l'accès HTTPS ?

• Nom de domaine personnalisé

  Supprimez le certificat pour désactiver HTTPS :

  1. Accédez à la page Buckets. Cliquez sur le bucket cible. Dans le volet de navigation de gauche, cliquez sur Bucket Settings > Domain Names.

  2. Cliquez sur l'icône de suppression en regard de Certificate Details pour le nom de domaine cible, puis cliquez sur OK.

     

• Nom de domaine accéléré par CDN

  Désactivez HTTPS dans la console CDN :

  Important

  Pour éviter toute interruption d'accès, rétablissez d'abord le type URL Redirection sur son paramètre par défaut et désactivez la fonctionnalité HSTS avant de désactiver HTTPS.

  1. Accédez à la console CDN, cliquez sur le nom de domaine accéléré cible, cliquez sur HTTPS, puis cliquez sur Modify en regard de HTTPS Certificate.

  2. Désactivez HTTPS Secure Acceleration comme illustré ci-dessous, puis cliquez sur OK.

     

Comment résoudre un échec d'import via un nom de domaine personnalisé dans la console OSS ?

Lorsque vous importez un objet dans la console OSS, le panneau d'import propose deux options Domain Name : le nom de domaine du bucket et un nom de domaine personnalisé. Le nom de domaine du bucket est sélectionné par défaut. Ce choix détermine uniquement l'endpoint utilisé pour l'import. L'objet résultant dans le bucket reste strictement identique dans les deux cas.

• Nom de domaine du bucket : Alibaba Cloud gère le certificat SSL de ce nom de domaine. Celui-ci prend nativement en charge HTTPS, et les imports réussissent sans configuration supplémentaire. Pour plus d'informations, consultez Fonctionnement.

• Nom de domaine personnalisé : lorsque vous basculez sur un nom de domaine personnalisé, la console affiche un avertissement vous invitant à confirmer que l'enregistrement CNAME et le certificat du nom de domaine personnalisé mappé sont correctement configurés. Sans cela, l'accès risque d'échouer. Cet avertissement indique la cause première des échecs d'import : un nom de domaine personnalisé nécessite une configuration de votre côté.

Si un import via un nom de domaine personnalisé échoue, procédez comme suit pour résoudre le problème :

• Vérifiez que le nom de domaine personnalisé est bien mappé au bucket actuel et que son enregistrement CNAME pointe vers l'endpoint du bucket. Pour plus d'informations, consultez Accéder à OSS via un nom de domaine personnalisé.

• Assurez-vous qu'un certificat SSL valide correspondant au nom de domaine personnalisé est configuré.

  Si l'accélération CDN n'est pas activée, configurez l'hébergement du certificat dans la console OSS : accédez à la page Buckets et cliquez sur le bucket cible. Dans le volet de navigation de gauche, cliquez sur Bucket Settings > Domain Names. Cliquez ensuite sur Certificate Hosting dans la colonne Actions du nom de domaine personnalisé cible et sélectionnez un certificat dans la liste déroulante Certificate Name.

  Si l'accélération CDN est activée, configurez plutôt le certificat dans la console CDN. L'hébergement de certificats dans OSS ne s'applique pas aux noms de domaine accélérés par CDN. Pour plus d'informations, consultez Activer l'accès HTTPS en configurant l'hébergement de certificats dans OSS et Activer l'accès HTTPS en configurant un certificat HTTPS dans CDN.

• Si les erreurs liées au certificat persistent, reportez-vous aux entrées relatives aux exceptions de certificat dans cette section FAQ.

• Pour rétablir immédiatement les imports, rebasculez le panneau d'import sur le nom de domaine du bucket par défaut. L'objet importé sera identique, quel que soit le nom de domaine utilisé.