{{>toc}}

h1. CACert

h2. Verificateurs

https://www.ssllabs.com/ssltest/index.html (ne reconnait pas CAcert)

h2. openssl

Voici un tutorial pour fabriquer vos propres certificats CACert.
En prérequis, prérequis, vous devez disposer d'un Compte CACert et avoir été assuré été assuré pour un minimum de 50

Pour créer créer le certificat, il faut lancer OpenSSL avec la commande suivante :
<pre>
openssl req -new –nodes –nodes -keyout server.key -out server.csr -config /etc/ssl/req.conf
</pre>
L'option -config permet d'appeller un fichier de configuration spécifique. spécifique.

Voici le contenu de ce fichier de conf spécifique spécifique
/etc/ssl/cacert.conf
<pre>
[ req ]
default_bits = 1024
default_keyfile = privkey.pem
distinguished_name = req_distinguished_name
req_extensions = req_ext # The extentions to add to the self signed cert

[ req_distinguished_name ]
commonName = Common Name (eg, YOUR name)
commonName_max = 64

[ req_ext ]
subjectAltName = @alt_names

[alt_names]
subjectAltName=IP:192.168.7.1
DNS.1 = mail.exemple.com
DNS.2 = www.exemple.com
</pre>

Il contient uniquement les champs utiles pour CACert c'est à à dire le Common Name (a remplir lors de la création création du certificat) et les alt-names (a renseigner en dur dans le fichier de conf avant de lancer la création création du certificat)
Le Common Name doit être être un nom évocateur évocateur permettant d'évoquer immédiatement d'évoquer immédiatement la fonction du certificat. (exemples : www.exemple.com pour le Web, mail.exemple.com pour les Mails,etc...)
Les SubjectAltName doivent contenir la liste exhaustive des sous-domaines à à valider. Pour tout sous domaine non présent présent dans la liste, le serveur affichera une erreur de sécurité. sécurité.

Voir aussi http://wiki.cacert.org/FAQ/subjectAltName

Une autre solution pour ne pas se retrouver avec des listes de sous-domaine à à rallonge est d'utiliser les wildcard.
Vous pouvez ainsi entrer comme subjectAltName *.exemple.com qui couvrira tous les sous-domaines de 1er niveau comme mail.exemple ou www.exemple. Mais attention, les sous-domaines de second niveau comme cdn.www.exemple ne seront pas reconnus. Pour valider ce domaine, il faut utiliser le wildcard suivant : *.*.exemple.com (et ainsi de suite si il existe d'autres niveaux).

Apache peut générer générer un avertissement qui doit être ignoré être ignoré : [Tue Sep 10 18:31:14 2013] [warn] RSA server certificate CommonName (CN) `www.ultrawaves.fr' does NOT match server name!?
(message obsolète obsolète : Apache ne sait pas lire les Subject Alt-Name)

Une fois ceci fait vous disposez d'un fichier .key et d'un fichier .csr.
Le fichier .csr doit être envoyé à être envoyé à CACert via l'interface suivante