Installation du certificat SSL COMODO – J'ai installé la pile LEMP pour l'un de mes clients sur sa machine CentOS 7 et configuré le certificat SSL obtenu auprès de COMODO pour son domaine. Cela fonctionnait bien sur les ordinateurs de bureau et les appareils mobiles. Mais mon client est revenu avec un problème et a dit qu'il voyait une erreur d'avertissement SSL sur l'un de ses mobiles Android. Voici ce que mon client a dit :
When the domain being accessed on some android devices, the SSL certificate wasn't trusted ! It was throwing a non safe warning site for the domain!
Oui, mon client avait raison - le certificat fonctionnait correctement sur la plupart des appareils, mais peu ont lancé un message d'avertissement. Alors, comment résoudre ce problème ?
Solution :
La raison la plus probable de l'erreur est que l'autorité de certification qui a émis votre certificat SSL est approuvée sur quelques appareils, mais pas sur tous. Mais comment, si une autorité de certification est approuvée, elle serait disponible sur tous les appareils, n'est-ce pas ? Pas nécessairement! Si le certificat a été émis par l'autorité de certification COMODO, vérifiez si l'autorité est répertoriée en tant qu'autorité de certification de confiance pour Android dans cette liste. Si ce n'est pas le cas, vous devez configurer une chaîne SSH de confiance.
Pour résoudre le problème, suivez les étapes ci-dessous.
Étape 1 :Vous auriez obtenu un fichier zip auprès de l'autorité COMODO CA. Décompressez pour trouver 3 fichiers comme indiqué ci-dessous :
<domain_name>.p7b <domain_name>.ca-bundle <domain_name>.crt
Étape 2 :Concaténer le bundle CA et le fichier de certificat (fichier CRT) qui est extrait à l'étape ci-dessus
#cat <domain_name>.crt <domain_name>.ca-bundle >><domain_name>-complete-bundle.crt
Étape 3 :Stockez le bundle dans le dossier SSL approprié comme ci-dessous :
#cp <domain_name>-complete-bundle.crt /etc/pki/tls/certs/<domain_name>-complete-bundle.crt
Étape 4 :Stockez votre clé privée dans le dossier SSL approprié comme ci-dessous :
#cp <domain_name>.key /etc/pki/tls/private/<domain_name>.key
Étape 5 :Assurez-vous d'ajouter la configuration nginx ci-dessous pointant vers le bon fichier de certificat et la clé privée tels qu'ils sont stockés dans les étapes précédentes
server {
listen 443 ssl;
server_name <domain_name>;
ssl_certificate /etc/pki/tls/certs/<domain_name>-complete-bundle.crt;
ssl_certificate_key /etc/pki/tls/private/<domain_name>.key;
ssl_prefer_server_ciphers on;
} Étape 6 :Après avoir apporté les modifications ci-dessus à votre fichier de configuration nginx, vérifiez les erreurs de syntaxe avant de tenter de redémarrer le service comme ci-dessous :
#nginx -t
Étape 7 :Redémarrez le service nginx
#systemctrl restart nginx
Maintenant, dans chaque navigateur et domaine, cela devrait fonctionner correctement.
Remarque :Vous pouvez également analyser tout problème avec votre certificat SSL chez SSL-LABS.