Déploiement
Déploiement • Chapitre 9 : Configuration HTTPS et sécurité

Configuration de Let's Encrypt

Automatisez la génération et le renouvellement de vos certificats HTTPS officiels grâce à Certbot et au protocole ACME. Obtenez une note A+ de sécurité en quelques commandes sans dépenser un centime.

🎁
100% Gratuit & Libre

Initiative mondiale à but non lucratif soutenue par Mozilla, Cisco, Google et l'EFF.

🤖
Outil Certbot

Client officiel automatisant la validation du domaine et l'injection dans Nginx.

🔄
Renouvellement 90 Jours

Certificats valables 3 mois, renouvelés automatiquement par systemd timer.

⚡
Validation ACME HTTP-01

Vérifie instantanément que vous contrôlez le domaine via un défi web transparent.

certbot-nginx-automation.sh
# 1. Installer Certbot et son plugin officiel Nginx sur Ubuntu/Debian
$ sudo apt update && sudo apt install -y certbot python3-certbot-nginx

# 2. Lancer la génération automatique pour votre domaine et sous-domaine
$ sudo certbot --nginx -d mon-site.com -d www.mon-site.com -d api.mon-site.com
# -> Renseigner une adresse email d'alerte
# -> Accepter les conditions de service
# -> Certbot configure Nginx et recharge le service automatiquement !

# 3. Tester la simulation de renouvellement automatique (Dry Run)
$ sudo certbot renew --dry-run
Simulating renewal of an existing certificate for mon-site.com
Congratulations, all simulated renewals succeeded.

Guide Approfondi & Architecture Système

1. Comment fonctionne le Défi ACME HTTP-01 ?

Pour prouver à Let's Encrypt que vous êtes bien le propriétaire de mon-site.com :
  1. Certbot génère un jeton cryptographique aléatoire et le dépose dans un dossier temporaire /.well-known/acme-challenge/ sur votre serveur web.
  2. Les serveurs de Let's Encrypt interrogent http://mon-site.com/.well-known/acme-challenge/jeton via internet.
  3. S'ils reçoivent la bonne clé, ils ont la preuve absolue que vous contrôlez la machine et délivrent immédiatement votre certificat officiel !

2. Le Renouvellement Silencieux en Arrière-Plan

Les certificats Let's Encrypt expirent au bout de 90 jours (pour limiter l'impact en cas de clé volée).

Lors de l'installation de Certbot, un minuteur systemd (certbot.timer) est configuré automatiquement. Deux fois par jour, il vérifie si vos certificats ont plus de 60 jours d'ancienneté : si oui, il les renouvelle et recharge Nginx sans aucune coupure ni intervention humaine.

Tableau Comparatif : Certificats Payants Historiques vs Let's Encrypt Moderne

CritèreCertificats Payants Anciens (Verisign, DigiCert)Let's Encrypt (Certbot)
Coût annuel50 € à 500 € par domaine et par an100% Gratuit à vie
Procédure d'installationGénération de CSR manuelle, emails de validation, copie de fichiers1 seule commande shell automatisée (certbot --nginx)
RenouvellementProcessus manuel récurrent avec risque d'oubli et de site expiré100% Automatique sans intervention humaine
Niveau de chiffrementChiffrement AES 256 bits identiqueChiffrement AES 256 bits identique (Même solidité)