Obtenir et installer un certificat avec Let’s Encrypt

Let’s Encrypt est une autorité de certification qui délivre gratuitement des certificats de sécurité pour permettre notamment une connexion en https à l’aide du protocole TLS ( SSL autrefois )

Le programme de gestion des certificats s’appelle cerbot et nécessite l’installation par snap

Installation de snap

Voir la page dédiée

Suppression des anciennes versions

Si des anciennes versions ont été installées avec apt, il faut les supprimer avant la nouvelle installation.

sudo apt-get remove certbot

Installation de Cerbot

Pour installer Certbot avec apache :

sudo snap install --classic certbot
sudo ln -s /snap/bin/certbot /usr/bin/certbot

Demande de certificat pour un seul domaine

sudo certbot --apache

Cerbot lance la configuration assisté de l’installation des certificats. Cerbot demande plusieurs renseignements.

adresse mail pour les urgences
accepter les termes
partage email avec la fondation EFF
Le nom de domaine
Redirection automatique de tout le http en https ( cerbot modifie le virtual host principal )

Demande d’un certificat pour un domaine et ses sous-domaines

sudo certbot --apache -d nomdomaine.tld -d calibre.nomdomaine.tld -d cloud.nomdomaine.tld -d plex.nomdomaine.tld

Demande d’un certificat sans configuration automatique

sudo certbot certonly --apache -d cloud.nomdomaine.tld

Dans ce cas de figure, il faudra créer et configurer le virtualhost correspondant.

Suppression d’un certificat

sudo certbot delete --cert-name nextcloud.nomdomaine.tld

Tester le renouvellemnt

sudo certbot renew --dry-run

Renouvellement manuel des certificats

sudo certbot renew

Renouvellement automatique des certificats

Le renouvellent se fait par service. Pour voir la liste des services :

systemctl list-timers -all

Vous devez avoir : snap.certbot.renew.timer et snap.certbot.renew.service

Ou anciennement :

L’installation de certbot a crée une tâche CRON que l’on retrouve ici : /etc/cron.d/certbot
Son contenu est :

SHELL=/bin/sh
PATH=/usr/local/sbin:/usr/local/bin:/sbin:/bin:/usr/sbin:/usr/bin
0 */12 * * * root test -x /usr/bin/certbot -a \! -d /run/systemd/system && perl -e 'sleep int(rand(43200))' && certbot -q renew

Liste des certificats

certbot certificates

Remarques

Lors de la demande de certificats, il ne doit pas y avoir de vhost déjà actif pour le (sous)domaine