| [](https://docs.labs404.fr/uploads/images/gallery/2026-07/scaled-1680-/NTYintermediaire-png.png) | Difficulté : Intermédiaire Notions : Chiffrement, Certificats, HTTPS |
**Prérequis** : Un serveur apache2 doit être installé et fonctionnel.
--- ### **II. Génération des certificats** #### **2.1 Cas du certificat auto-signé****Attention**: cette méthode chiffre les communications mais ne garantit pas forcément l'identité du serveur. En effet, pour que cela soit le cas, il faudra faire signer sa requête par une autorité de certification reconnue.
Créer dans le répertoire "***/etc/apache2/*** " un répertoire "***certificates***". ```bash mkdir /etc/apache2/certificates && cd /etc/apache2/certificates ``` [](https://docs.labs404.fr/uploads/images/gallery/2026-07/scaled-1680-/WP3image-png.png) Avec openssl, il va falloir faire 3 choses : - Créer une clé privée. ``` openssl genrsa -out private.key 2048 ``` ici, ***2048*** est la longueur de la clé de chiffrement. ***private.key*** est le nom du fichier. [](https://docs.labs404.fr/uploads/images/gallery/2026-07/scaled-1680-/H8Yimage-png.png)***Bonne pratique** : Il est préférable de protéger la clé avec un chiffrement. Ainsi, un mot de passe sera demandé lors de toute lecture de la clé. Pour cela ajouter l'opérande '**-aes-256**' après genrsa lors de la génération.*
- Générer une requête (demande de certificat) signée par la clé privée. ``` openssl req -new -key private.key -out server.csr ``` ici, ***private.key*** est le nom du fichier de la clé avec laquelle la demande sera signée. ***server.csr** est le nom du fichier de la requête.* Il va falloir alors répondre à quelques questions : [](https://docs.labs404.fr/uploads/images/gallery/2026-07/scaled-1680-/sScimage-png.png) Le champ ***challenge password** sert à protéger le csr contre l'altération. Il sera en effet demandé lors de la modification ou la révocation de celle-ci. il est optionnel. On a donc le csr suivant : [](https://docs.labs404.fr/uploads/images/gallery/2026-07/scaled-1680-/oFKimage-png.png) - Signer la requête pour générer le certificat. ```bash openssl x509 -req -days 365 -in server.csr -signkey private.key -out certificate.crt ``` ici, ***x509*** est le format du certificat voulu. ***365*** est le nombre de jour de validité de certificat (celui-ci expirera dans 365 jours et devra être renouvelé). ***-in*** : la demande que l'on souhaite signer ***-signkey** :* la clé qui servira à signer la demande ***- out*** : le fichier de sortie --> le certificat. [](https://docs.labs404.fr/uploads/images/gallery/2026-07/scaled-1680-/s1Limage-png.png) On a donc le certificat suivant : [](https://docs.labs404.fr/uploads/images/gallery/2026-07/scaled-1680-/2Ruimage-png.png)**Astuce** : il est possible de réaliser les trois actions ci-dessus en une seule commande.
``` openssl req -x509 -nodes -days 365 -newkey rsa:2048 -sha256 -out /etc/apache2/certificates/certificate.crt -keyout /etc/apache2/certificates/private.key ``` #### **2.2 Cas du certificat signé par une CA** Pour garantir l'authenticité de la communication, il est nécessaire de faire valider le certificat par une autorité tierce.**Info** : par exemple [Let's Encrypt](https://letsencrypt.org/)
Il faudra alors effectuer les deux premières étapes, à savoir : - Génération de la clé privée - Génération de la requête (csr) Mais au lieu de la signer, le csr sera envoyé à la CA, qui s'assurera d'abord de la légitimité de la requête et nous renverra le certificat signé. Il faudra alors le déposer dans le dossier des certificats précédemment créé. --- ### **III. Configuration apache 2****Bonne pratique** : Il est préférable à ce stade de sécuriser l’accès à la clé privée en limitant son accès. En effet, si un pirate récupère la clé, il pourra lui-même générer un certificat pour usurper l'identité du serveur.
``` chown -r root:www-data /etc/apache2/certificates chmod 440 /etc/apache2/certificates/private.key ``` #### **3.1 Activation des modules** Activer le module apache pour le HTTPS. ```bash a2enmod ssl ``` [](https://docs.labs404.fr/uploads/images/gallery/2026-07/scaled-1680-/0vwimage-png.png) Redémarrer apache2. ```bash service apache2 restart ``` [](https://docs.labs404.fr/uploads/images/gallery/2026-07/scaled-1680-/WO0image-png.png) #### **3.2 Configuration apache** Aller dans : "***/etc/apache2/sites-available/***" et éditer le fichier de configuration SSL "***default-ssl.conf***". Modifier les deux lignes suivantes pour qu'elles reflètent la configuration voulue. [](https://docs.labs404.fr/uploads/images/gallery/2026-07/scaled-1680-/LEuimage-png.png) Enregistrer et quitter. Activer le site avec la commande : ``` a2ensite default-ssl.conf ``` [](https://docs.labs404.fr/uploads/images/gallery/2026-07/scaled-1680-/M7mimage-png.png) Recharger le service apache2 pour appliquer toutes les configurations de sites. ```bash service apache2 reload ``` Le site est désormais accessible en https : [](https://docs.labs404.fr/uploads/images/gallery/2026-07/scaled-1680-/vstimage-png.png)**Info** : l'erreur de confidentialité viens du fait que le certificat est auto-signé.
Si l'on affiche le certificat : [](https://docs.labs404.fr/uploads/images/gallery/2026-07/scaled-1680-/SD6image-png.png)