{{>toc}}

h1. CACert

h2. Verificateurs

https://www.ssllabs.com/ssltest/index.html (ne reconnait pas CAcert)

h2. openssl

Voici un tutorial pour fabriquer vos propres certificats CACert.

En prérequis, vous devez disposer d'un Compte CACert et avoir été assuré pour un minimum de 50

Pour créer le certificat, il faut lancer OpenSSL avec la commande suivante :

<pre>

openssl req -new -nodes -newkey rsa:2048 -sha256 -keyout server.key -out server.csr -config /etc/ssl/cacert.conf

</pre>

Par défaut OpenSSL utilise le 1028 et le SHA-1, mais il est fortement conseillé à l'heure actuelle de fabriquer un certificat d'au moins 2048 bits RSA et utilisant le condensat sha256.

L'option -config permet d'appeller un fichier de configuration spécifique.

Voici le contenu de ce fichier de conf spécifique

/etc/ssl/cacert.conf

<pre>

[ req ]

default_bits        = 2048

default_keyfile     = privkey.pem

distinguished_name  = req_distinguished_name

req_extensions     = req_ext # The extentions to add to the self signed cert

[ req_distinguished_name ]

commonName            = Common Name (eg, YOUR name)

commonName_max        = 64

[ req_ext ]

subjectAltName          = @alt_names

[alt_names]

subjectAltName=IP:192.168.7.1 

DNS.1   = mail.exemple.com

DNS.2   = www.exemple.com

</pre>

Il contient uniquement les champs utiles pour CACert c'est à dire le Common Name (a remplir lors de la création du certificat) et les alt-names (a renseigner en dur dans le fichier de conf avant de lancer la création du certificat)

Le Common Name doit être un nom évocateur permettant d'évoquer immédiatement la fonction du certificat. (exemples : www.exemple.com pour le Web, mail.exemple.com pour les Mails,etc...)

Les SubjectAltName doivent contenir la liste exhaustive des sous-domaines à valider. Pour tout sous domaine non présent dans la liste, le serveur affichera une erreur de sécurité.

Voir aussi http://wiki.cacert.org/FAQ/subjectAltName

Une autre solution pour ne pas se retrouver avec des listes de sous-domaine à rallonge est d'utiliser les wildcard.

Vous pouvez ainsi entrer comme subjectAltName *.exemple.com qui couvrira tous les sous-domaines de 1er niveau comme mail.exemple ou www.exemple. Mais attention, les sous-domaines de second niveau comme cdn.www.exemple ne seront pas reconnus. Pour valider ce domaine, il faut utiliser le wildcard suivant : *.*.exemple.com (et ainsi de suite si il existe d'autres niveaux).

Apache peut générer un avertissement qui doit être ignoré : [Tue Sep 10 18:31:14 2013] [warn] RSA server certificate CommonName (CN) `www.ultrawaves.fr' does NOT match server name!?

(message obsolète : Apache ne sait pas lire les Subject Alt-Name)

Une fois ceci fait vous disposez d'un fichier .key et d'un fichier .csr.

Le fichier .csr doit être envoyé à CACert via l'interface suivante