Certificate Management Service:Installer un certificat SSL sur un serveur Tomcat (Windows)

Prérequis

Étape 1 : Préparer le certificat SSL

1. Accédez à la page SSL Certificate Management. Dans la colonne Actions du certificat cible, cliquez sur More pour ouvrir la page des détails du certificat. Dans l'onglet Download , téléchargez le certificat pour le Server Type Tomcat.

2. Extrayez le package de certificat téléchargé. Il contient un fichier de certificat (.pfx ou .jks) et un fichier de mot de passe (.txt).

   Remarque

   Si vous avez généré la CSR à l'aide d'OpenSSL ou de Keytool, la clé privée existe uniquement sur votre machine locale et n'est pas incluse dans le téléchargement. En cas de perte, vous devez acheter à nouveau un certificat commercial et générer une nouvelle CSR ainsi qu'une nouvelle clé privée.

3. Téléversez les fichiers de certificat et de mot de passe vers un répertoire sécurisé de votre serveur. Chemin exemple : D:\cert.

   Remarque

   Les étapes suivantes utilisent une instance ECS Alibaba Cloud comme exemple. Pour les autres types de serveurs, consultez leur documentation.

   1. Accédez à ECS console - Instances. Dans le coin supérieur gauche, sélectionnez la région et le groupe de ressources de la ressource cible.

   2. Sur la page des détails de l'instance, cliquez sur Connect et sélectionnez Workbench. Suivez les instructions à l'écran pour vous connecter au bureau du serveur.

   3. Dans le coin inférieur gauche du bureau du serveur, cliquez sur le menu Enabling . Recherchez et ouvrez This PC, Computer ou File Explorer.

   4. Sous Redirected drives and folders , double-cliquez sur workbench on ***. Faites glisser le fichier de certificat depuis votre machine locale vers ce répertoire, puis faites un clic droit sur le dossier et sélectionnez Refresh .

   5. Copiez le fichier dans le répertoire D:\cert .

      Important

      Workbench supprime automatiquement tous les fichiers téléversés dans le répertoire Redirected drives and folders lors de la déconnexion, de la reconnexion ou de la fermeture de session. Utilisez ce répertoire uniquement pour les transferts de fichiers.

Étape 2 : Configurer l'environnement système et réseau

1. Ouvrez le port 443 dans le groupe de sécurité.

   Important

   Si votre serveur est déployé sur une plateforme cloud, assurez-vous que son groupe de sécurité autorise le trafic entrant sur le port TCP 443. Sinon, le service ne sera pas accessible depuis Internet. Les opérations suivantes utilisent une instance ECS Alibaba Cloud comme exemple. Pour les autres plateformes cloud, consultez leur documentation officielle.

   1. Accédez à la page ECS Instances , sélectionnez la région où se trouve votre instance ECS cible et cliquez sur le nom de l'instance pour accéder à la page des détails.

   2. Cliquez sur Security Groups > Inbound Rules et assurez-vous qu'une règle existe avec Action défini sur Allow , Protocol Type défini sur TCP, Port Range défini sur HTTPS (443) et Authorization Object défini sur Anywhere (0.0.0.0/0) .

   3. Si une telle règle n'existe pas, ajoutez-en une au groupe de sécurité cible. Pour plus d'informations, consultez Ajouter une règle de groupe de sécurité .

2. Ouvrez le port 443 dans le pare-feu du serveur.

   1. Connectez-vous à votre serveur Windows, cliquez sur le menu Start , puis ouvrez Control Panel .

   2. Accédez à System and Security > Windows Defender Firewall > Check firewall status .

   3. Si le pare-feu est désactivé comme illustré dans la figure suivante, aucune autre action n'est requise.

   4. Si le pare-feu est activé, suivez ces étapes pour autoriser le trafic HTTPS.

      1. Dans le volet de navigation de gauche, cliquez sur Advanced settings > Inbound Rules et vérifiez s'il existe une règle entrante pour laquelle Protocol est TCP, Local Port est 443 et Action est Block .

      2. Si une telle règle existe, faites un clic droit sur la règle, sélectionnez Properties , et dans l'onglet General , modifiez l'action pour Allow the connection . Ensuite, cliquez sur Apply .

Étape 3 : Déployer le certificat sur Tomcat

1. Modifiez server.xml pour configurer les paramètres SSL. Chemin exemple : C:\apache-tomcat-9.0.105\conf\server.xml .

   Exemple PFX

   <Connector port="443" protocol="org.apache.coyote.http11.Http11NioProtocol"
              maxThreads="150" SSLEnabled="true"
              maxParameterCount="1000">
       <SSLHostConfig>
           <!-- Replace D:/cert/example.com.pfx with the actual path to your certificate file. Replace your_certificate_password with the content of the pfx-password.txt file. -->
           <Certificate certificateKeystoreFile="D:/cert/example.com.pfx"
                        certificateKeystorePassword="your_certificate_password"
                        certificateKeystoreType="PKCS12"
                        type="RSA"/>
       </SSLHostConfig>
   </Connector>

   Exemple JKS

   <Connector port="443" protocol="org.apache.coyote.http11.Http11NioProtocol"
              maxThreads="150" SSLEnabled="true"
              maxParameterCount="1000">
       <SSLHostConfig>
           <!-- Replace D:/cert/example.com.jks with the actual path to your certificate file. Replace your_certificate_password with the content of the jks-password.txt file. -->
           <Certificate certificateKeystoreFile="D:/cert/example.com.jks"
                        certificateKeystorePassword="your_certificate_password"
                        certificateKeystoreType="JKS"
                        type="RSA" />
       </SSLHostConfig>
   </Connector>

2. Facultatif : configurez la redirection automatique HTTP vers HTTPS.

   1. Modifiez server.xml . Localisez le connecteur HTTP (port 8080 par défaut) et définissez l'attribut redirectPort sur 443. Ajoutez l'attribut s'il n'existe pas.

      <!-- Tomcat listens on port 8080 by default. Change this to the actual HTTP port that you are listening on. -->
      <Connector port="80" protocol="HTTP/1.1"
                 connectionTimeout="20000"
                 redirectPort="443"
                 maxParameterCount="1000"
                 />

   2. Ajoutez ce qui suit à la fin de web.xml :

      <security-constraint>
          <web-resource-collection>
              <web-resource-name>SSL</web-resource-name>
              <url-pattern>/*</url-pattern>
          </web-resource-collection>
          <user-data-constraint>
              <transport-guarantee>CONFIDENTIAL</transport-guarantee>
          </user-data-constraint>
      </security-constraint>

      Remarque

      Après l'enregistrement, le serveur redirige toutes les requêtes HTTP vers HTTPS.

3. Après avoir enregistré la configuration, accédez au répertoire bin de votre installation Tomcat et redémarrez le serveur pour que les paramètres SSL prennent effet.

   • Arrêtez le serveur Tomcat.

     shutdown.bat

   • Démarrez le serveur Tomcat.

     startup.bat

Étape 4 : Vérifier le déploiement

Déploiement en production

Lorsque vous déployez une application dans un environnement de production, suivez ces bonnes pratiques pour améliorer la sécurité, la stabilité et la maintenabilité :

• Exécutez l'application en tant qu'utilisateur non administrateur :

  Créez un utilisateur système dédié à faibles privilèges pour l'application. N'exécutez pas l'application à l'aide d'un compte disposant d'autorisations administratives.

  Remarque

  Nous vous recommandons d'utiliser une configuration SSL au niveau de la passerelle. Cela implique de déployer le certificat sur un proxy inverse, tel qu'une instance SLB ou Nginx. Le proxy inverse termine le trafic HTTPS, puis transfère le trafic HTTP déchiffré vers l'application backend.

• Externalisez la gestion des identifiants :

  Ne codez pas en dur des informations sensibles, telles que les mots de passe, dans votre code ou vos fichiers de configuration. Utilisez des variables d'environnement, un coffre-fort ou un service de gestion des clés fourni par votre fournisseur cloud pour injecter les identifiants.

• Appliquez la redirection HTTP vers HTTPS :

  Assurez-vous que tout le trafic accédant à votre site web via HTTP est automatiquement redirigé vers HTTPS. Cela permet de prévenir les attaques de type « man-in-the-middle » (MITM).

• Configurez des protocoles TLS modernes :

  Dans la configuration de votre serveur, désactivez les protocoles obsolètes et non sécurisés, tels que SSLv3, TLS 1.0 et TLS 1.1. Activez uniquement TLS 1.2 et TLS 1.3.

• Surveillez les certificats et automatisez le renouvellement :

  Une fois le certificat déployé, nous vous recommandons d'activer la surveillance du nom de domaine. Alibaba Cloud vérifie automatiquement la période de validité du certificat et envoie des rappels avant l'expiration du certificat. Cela vous aide à renouveler le certificat en temps utile pour éviter les interruptions de service. Pour plus d'informations, consultez Acheter et activer la surveillance publique des noms de domaine .

Le certificat ne fonctionne pas ou HTTPS est inaccessible

Causes courantes :

• Le port 443 est bloqué par le groupe de sécurité ou le pare-feu du serveur. Configurer l'environnement système et réseau .

• Le nom de domaine n'est pas inclus dans les Bound Domains du certificat. Correspondance du nom de domaine .

• Tomcat n'a pas été redémarré après la modification de la configuration. Arrêter et redémarrer le service Tomcat .

• Le fichier de certificat n'a pas été remplacé correctement, ou le chemin dans la configuration Tomcat est incorrect. Vérifiez que la configuration et le fichier de certificat sont actuels et valides.

• Le nom de domaine est intégré à des services cloud tels que CDN, SLB ou WAF, mais le certificat n'est pas installé sur le service correspondant. Pour plus d'informations, consultez Emplacement du déploiement du certificat lorsque le trafic traverse plusieurs services cloud .

• Le nom de domaine est résolu vers plusieurs serveurs, mais le certificat est installé uniquement sur certains d'entre eux. Vous devez installer le certificat sur chaque serveur.

Mettre à jour un certificat SSL dans Tomcat

Sauvegardez les fichiers de certificat existants (.pfx ou .jks et le fichier .txt) sur votre serveur. Téléchargez les nouveaux fichiers de certificat depuis la console Certificate Management Service et téléversez-les pour écraser les fichiers existants. Conservez les mêmes chemins et noms de fichiers. Redémarrez Tomcat pour que le nouveau certificat prenne effet.

Après le redémarrage de Tomcat, le service ne démarre pas et le journal (catalina.log) affiche une erreur LifecycleException ou Keystore was tampered with, or password was incorrect.

Causes courantes :

• Mot de passe incorrect :

  La valeur certificateKeystorePassword dans server.xml ne correspond pas au mot de passe réel du certificat. Vérifiez le mot de passe ; il est sensible à la casse.

• Chemin du certificat incorrect :

  Le chemin dans certificateKeystoreFile est incorrect. Vérifiez les fautes de frappe et envisagez d'utiliser un chemin relatif au répertoire conf/ .

• Type de keystore non correspondant :

  Le certificateKeystoreType ne correspond pas au format réel du fichier de certificat. Utilisez PKCS12 pour les fichiers PFX et JKS pour les fichiers JKS.

• Caractères spéciaux dans le mot de passe :

  Le mot de passe contient des caractères spéciaux XML tels que & , < ou > qui ne sont pas correctement échappés dans le fichier server.xml .

Redirection automatique HTTP vers HTTPS

Suivez la section Configurer la redirection automatique de HTTP vers HTTPS . Redémarrez Tomcat après avoir modifié la configuration.