1. Page d'accueil
2. Aide
3. Outils de gestion des certificats SSL
4. Demandez un certificat via ACME et DNS dans l'application SSLmarket

Demandez un certificat via ACME et DNS dans l'application SSLmarket

L'application SSLmarket simplifie votre utilisation et vos tests de DNS. Ce guide traite de la demande manuelle de certificats, vérifiée par la méthode DNS-01, ainsi que de la modification des enregistrements DNS via l'API. Vous apprendrez comment cela fonctionne et comment l'appliquer chez les registraires pris en charge.

Qu'est-ce que le protocole ACME

Le protocole ACME (Automatic Certificate Management Environment) est un protocole ouvert qui automatise l'émission et le renouvellement des certificats TLS. Il est normalisé dans le RFC 8555. Initialement créé pour l'autorité de certification Let's Encrypt, ce protocole est aujourd'hui également pris en charge par des autorités commerciales, y compris DigiCert. Un client ACME fonctionne sur le serveur et s'enregistre auprès de l'autorité de certification. Pour les autorités de certification commerciales, des identifiants ACME (External Account Binding) sont généralement utilisés pour connecter le client avec le compte client. Le client soumet ensuite une demande de certificat, et l'autorité lui demande de prouver le contrôle du domaine. Après une vérification réussie, l'autorité émet le certificat, que le client peut télécharger et installer. Avant l'expiration du certificat, le processus entier est répété automatiquement, garantissant ainsi le renouvellement sans intervention de l'administrateur.

Vérification du domaine par la méthode DNS-01

Une des méthodes de vérification du domaine est DNS-01. L'autorité de certification fournit un token au client ACME. Le client en déduit sa valeur et l'insert dans un enregistrement TXT du domaine vérifié : _acme-challenge L'autorité de certification retrouve l'enregistrement dans le DNS, et si la valeur correspond, le domaine est vérifié. L'avantage de la méthode DNS-01 est qu'elle ne nécessite pas que le serveur soit accessible depuis Internet, ni que le port 80 soit ouvert. Cette méthode permet aussi d'émettre un certificat wildcard (*.domaine.fr). Si votre fournisseur DNS propose une API pour gérer les enregistrements, le client ACME peut créer automatiquement l'enregistrement TXT, puis le supprimer après vérification, rendant ainsi le processus, y compris le renouvellement, entièrement automatisé. Pour cela, il est conseillé d'utiliser une clé API avec des autorisations aussi restreintes que possible, idéalement limitée uniquement à la gestion des enregistrements DNS du domaine concerné.

Intégration d'ACME dans l'application SSLmarket

L'application SSLmarket permet non seulement de créer et de gérer les identifiants ACME, mais aussi d'émettre des certificats manuellement via ACME et de procéder à des vérifications DNS-01.

La demande manuelle de certificat est possible grâce au paramétrage des enregistrements DNS via l'API pour le domaine vérifié, ce qui permet de séparer le demandeur de certificat du domaine lui-même. Ce procédé n'est pas possible avec la vérification par fichier hébergé sur le web (HTTP-01). Lors de la demande d'un certificat, l'autorité de certification (CA) envoie un secret unique pour le défi et vérifie sa présence dans la zone DNS du domaine concerné. Si cet enregistrement est trouvé, la demande de certificat est finalisée via ACME et le certificat est délivré. Le client ACME, dans ce cas l'application SSLmarket, enregistre ensuite le certificat sur votre ordinateur, soit dans le magasin de certificats Windows, soit sous forme de fichier PFX.

Cette option d'émission peut être utile si vous devez obtenir un certificat pour un serveur non connecté à Internet ou si vous souhaitez simplement obtenir un fichier PFX. Elle est également utile pour les tests.

Services pris en charge avec l'API DNS

Dans la première version avec le support ACME (1.5.0), vous avez dans l'application le choix entre trois services pour gérer les enregistrements DNS via l'API :

• CZECHIA.COM (Zoner)
• Google Cloud DNS
• Cloudflare

Pour utiliser ces services, le domaine vérifié doit avoir ses serveurs de noms chez ces fournisseurs (la zone DNS doit être hébergée chez eux), et vous devez disposer d'une clé API permettant de manipuler les enregistrements. D'autres fournisseurs seront ajoutés à l'avenir si le projet les prend en charge et si cela est techniquement faisable.

Comment fonctionne ACME dans l'application SSLmarket

ACME est intégré dans l'application SSLmarket à l'aide du projet simple-acme. Celui-ci peut procéder à une vérification DNS-01 à l'aide de plugins qui intègrent les API de tiers. L'application SSLmarket prend les paramètres nécessaires et les transmet au client simple-acme en arrière-plan. Pour les utilisateurs, c'est une simplification et pour les auteurs de l'application, la possibilité d'utiliser facilement des intégrations DNS API déjà prêtes.

Dans le détail de l'identifiant ACME spécifique, vous pouvez demander directement un certificat. Vous remplissez le nom de domaine qui doit être vérifié via DNS, choisissez le fournisseur d'enregistrements DNS, et définissez le stockage du certificat émis (Windows certificate store, PFX). Si une clé API fonctionnelle pour le service tiers est insérée et fonctionne, la demande sera complétée après la vérification DCV, le certificat sera émis et enregistré selon les paramètres de la demande.

L’état de la demande est visible dans le journal devant vous, vous pouvez donc facilement résoudre les problèmes potentiels par une analyse du journal ou en l'envoyant au support client de SSLmarket.

Les certificats émis via ACME apparaissent le lendemain sur votre compte SSLmarket et seront facturés le mois suivant selon le tarif en vigueur de votre compte client.

Autres ressources et documentation

L'application SSLmarket pour l'émission de certificat via ACME intègre et utilise le projet simple-acme, y compris des plugins DNS intégrant les services de tiers. Pour la référence à l'utilisation de l'API DNS de chaque fournisseur, je recommande la page validation DNS. Chaque fournisseur a une authentification et des paramètres différents, notre application les absorbe dans ses réglages (frontend) et les transmet à simple-acme en arrière-plan.