Voir la source de Configuration et gestion https sur HAProxy


{{#seo:
|title=Configuration et gestion https sur HAProxy
|title_mode=append
|keywords=these,are,your,keywords
|description=Configuration et gestion https sur HAProxy
|image=Uploaded_file.png
|image_alt=Wiki Logo
}}

==Introduction== <!--T:1-->
Vous trouverez ci-dessus quelques options vous permettant de mettre en place les configurations HTTPs , HSTS, etc. sur [https://www.ikoula.com/fr/cloud-public/oneclick/haproxy Haproxy].<br>

==Configurations== <!--T:2-->
=== Configuration de l'HTTPs === <!--T:3-->
La mise en place de l'HTTPs se fait au niveau du '''frontend''' en précisant la chose à la suite de l'option bind, exemple avec le port 443: 
<pre>       
bind :443 ssl crt /etc/haproxy/ssl/
</pre> 

L'utilisation de l'IPv6 nécessite l'ajout d'une autre ligne de configuration, exemple: 
<pre>
bind :::443 ssl crt /etc/haproxy/ssl/
</pre>

La gestion des certificats par HAProxy est un des avantages de la solution. En effet, il vous suffit simplement de placer l'ensemble des certificats dans le dossier configuré.<br>
HAProxy s'occupera seul d'assigner le bon certificat au visiteur selon le domaine appelé. Vous pouvez ainsi avoir plusieurs centaines de sites via le même frontend.<br>
Chaque fichier présent dans ce dossier devant contenir les parties suivantes: le certificat, la chaîne de certification et enfin la clé.

=== Sécuritsation et option de l'HTTPs === <!--T:4-->
Nous venons de voir, dans la section précédente, comment mettre en place l'HTTPs au niveau d'HAProxy.<br>
Une fois ceci en place, nous pouvons désormais voir pour sécuriser cela afin de pouvoir assurer une sécurité accrue pour votre/vos site(s).

==== Clé Diffie-Hellman (faille logjam) ====<!--T:5-->
La faille [https://weakdh.org/logjam.html logjam] a été découverte courant 2015 et concerne les clés [https://fr.wikipedia.org/wiki/%C3%89change_de_cl%C3%A9s_Diffie-Hellman Diffie-Hellman].<br>
Afin de limiter l'impact de cette faille au niveau HAProxy, vous devez mettre en place l'option suivante afin d'augmenter la taille maximal du paramètre permettant la génération de la clé (dans la section global): 
<pre>
tune.ssl.default-dh-param 2048
</pre>

==== Utilisation de HSTS ====<!--T:6-->
Le mécanisme HSTS (pour '''HTTP Strict Transport Security''') permet d'indiquer à un navigateur compatible qu'il doit intéragir avec lui en utilisant une connexion sécurisée.<br>
Vous pouvez trouver plus d'information sur la page suivante: [https://fr.wikipedia.org/wiki/HTTP_Strict_Transport_Security Wikipedia HSTS].

L'implémentation de cette option dans HAProxy se fait via l'option suivante (dans le backend): 
<pre>
http-response set-header Strict-Transport-Security "max-age=16000000; includeSubDomains; preload;"
</pre>

==== Sécurisation des ciphers et des protocoles ====<!--T:7-->
La sécurisation des ciphers et des protocoles supportés étant en constante évolution, nous n'allons ici pas fournir de configuration type car cette dernière pourrait être dépassé d'ici quelques mois.<br>
Nous vous conseillons d'utiliser l'outil de configuration de Mozilla pour cela: [https://mozilla.github.io/server-side-tls/ssl-config-generator/ lien vers l'outil].

<!--T:8-->
<!-- Fin de l'article -->
<br /><br />
Cet article vous a semblé utile ? <vote />

<!--T:9-->

<!-- Commentaire -->
<comments />

[[Catégorie:Linux]]
[[Catégorie:HAProxy]]
[[Category:Serveur VPS]]
[[Category:Cloud]]
[[Category:Serveur dédié]]