##

Renouvellement du certificat SSL

####

Application : Serveur Web

Rappel : l’exécution de Certbot est indépendante de la plateforme hôte.

Pré-requis : la procédure va générer des requêtes HTTP par Let’sEncrypt sur le serveur Web hôte. Il est donc nécessaire que celui-ci soit démarré, avec, impérativement, le protocole HTTP activé sur le port 80 et le protocole HTTPS activé sur le port 443. Les requêtes Let’sEncrypt, de la forme « /.well-known/acme-challenge/… », doivent être acceptées par la procédure d’authentification du serveur Web Hôte. Enfin un dossier 'renewSSL' doit exister au niveau du dossier racine du serveur Web.

Le renouvellement du certificat nécessite que l’application Certbot soit préalablement installée . Il se fait dans une fenêtre du terminal par la commande :

sudo certbot renew

Cette commande peut être exécutée à tout moment, mais le renouvellement n’est effectué que si nécessaire (typiquement 2 mois après la dernière mise à jour).

Si le certificat n’a pas besoin d’être renouvelé, un message du type suivant sera envoyé :

Saving debug log to /var/log/letsencrypt/letsencrypt.log

----------------------------------------

Processing /etc/letsencrypt/renewal/srv-sourderie.ainsilavie.fr.conf

----------------------------------------

Cert not yet due for renewal

----------------------------------------

The following certs are not due for renewal yet:

/etc/letsencrypt/live/srv-sourderie.ainsilavie.fr/fullchain.pem expires on 2022-09-09 (skipped)

No renewals were attempted.

----------------------------------------

Si le certificat est prêt à être renouvelé, un message du type suivant sera envoyé :

Saving debug log to /var/log/letsencrypt/letsencrypt.log

----------------------------------------

Processing /etc/letsencrypt/renewal/someothersrv-sourderie.ainsilavie.fr.conf

----------------------------------------

Cert is due for renewal, auto-renewing...

Plugins selected: Authenticator webroot, Installer None

Renewing an existing certificate

Performing the following challenges:

http-01 challenge for someothersrv-sourderie.ainsilavie.fr

Waiting for verification...

Cleaning up challenges

----------------------------------------

new certificate deployed without reload, fullchain is

/etc/letsencrypt/live/srv-sourderie.ainsilavie.fr/fullchain.pem

----------------------------------------

Congratulations, all renewals succeeded. The following certs have been renewed:

/etc/letsencrypt/live/srv-sourderie.ainsilavie.fr/fullchain.pem (success)

----------------------------------------

Dans ce cas, il reste à recopier les fichiers « privkey.pem » et « fullchain.pem » dans le dossier de la base de données, en exécutant les 3 commandes suivantes dans une fenêtre du terminal :

sudo cp /etc/letsencrypt/live/srv-sourderie.ainsilavie.fr/fullchain.pem /Users/philippe/ALV_Serveurs/ALV_Serveur_HTTP/cert.pem

sudo cp /etc/letsencrypt/live/srv-sourderie.ainsilavie.fr/privkey.pem /Users/philippe/ALV_Serveurs/ALV_Serveur_HTTP/key.pem

sudo chmod +r /Users/philippe/ALV_Serveurs/ALV_Serveur_HTTP/*.pem

La commande chmod (changement de mode) met les fichiers .pem en mode lecture.

En cas de souci, vérifier que :

- Le dossier "/private/etc/letsencrypt" est en ‘lecture/écriture’,
- Le dossier "/usr/local/Cellar" est en ‘lecture/écriture’,
- "Little Snitch" autorise ‘Terminal via curl’ et ‘Terminal via python’.

Rappel : la commande Pomme + Maj + Point affiche les fichiers invisibles.