Comprenez l'infrastructure à clés publiques (PKI) : le rôle des autorités de certification (CA), la chaîne de confiance et l'intégration des fichiers fullchain.pem et privkey.pem dans Nginx.
Tiers de confiance mondial (Let's Encrypt, DigiCert) attestant cryptographiquement de votre légitimité.
Certificat public de votre site + certificats intermédiaires prouvant la chaîne de confiance.
Clé privée ultra-secrète du serveur : elle ne doit JAMAIS être partagée ou téléversée.
Configuration de ssl_certificate et ssl_certificate_key dans le bloc d'écoute 443.
# Configuration du bloc serveur HTTPS dans /etc/nginx/sites-available/mon-site
server {
listen 443 ssl http2;
listen [::]:443 ssl http2;
server_name mon-site.com www.mon-site.com;
# 1. Chemins vers les certificats officiels
ssl_certificate /etc/letsencrypt/live/mon-site.com/fullchain.pem;
ssl_certificate_key /etc/letsencrypt/live/mon-site.com/privkey.pem;
# 2. Paramètres de chiffrement recommandés par Mozilla Security
ssl_protocols TLSv1.2 TLSv1.3;
ssl_ciphers HIGH:!aNULL:!MD5;
ssl_prefer_server_ciphers on;
# 3. Racine et routage
root /var/www/mon-site/dist;
index index.html;
location / {
try_files $uri $uri/ /index.html;
}
}Les autorités comme Let's Encrypt ne signent pas directement votre site avec leur clé racine (trop risqué). Elles utilisent une Autorité Intermédiaire (ex: R3).
cert.pem au lieu de fullchain.pem, votre site fonctionnera sur Chrome mais affichera une erreur Certificate Unknown Issuer sur les téléphones Android anciens ! privkey.pem permet de déchiffrer toutes les communications de vos clients. Sur Linux, ce fichier doit avoir des permissions strictes chmod 600 et n'appartenir qu'à l'utilisateur root. Ne commitez JAMAIS ce fichier dans Git.
| Fichier | Contenu | Diffusion Publique | Rôle dans Nginx |
|---|---|---|---|
| privkey.pem | Clé privée RSA ou ECDSA du serveur | NON (Ultra-secret) | ssl_certificate_key |
| fullchain.pem | Certificat du site + certificats intermédiaires | OUI (Envoyé aux clients) | ssl_certificate (Recommandé) |
| cert.pem | Certificat du site uniquement (sans intermédiaire) | OUI | Déconseillé seul en production |
| chain.pem | Certificats intermédiaires de l'autorité | OUI | Utilisé pour la validation OCSP Stapling |