Apache TLS — Certificat autosigné

On commence par mettre à jour la liste des paquets, puis on installe Apache2.

# Mettre à jour l'index des paquets
apt update

# Installer Apache2 (-y pour répondre "oui" automatiquement)
apt install apache2 -y

• apt updateSynchronise la liste des paquets disponibles depuis les dépôts. À faire avant toute installation.
• -yRépond automatiquement "oui" à toutes les confirmations d'installation.

On s'assure qu'Apache démarre automatiquement au boot, puis on vérifie son état.

# Activer le démarrage automatique d'Apache au boot
systemctl enable apache2

# Démarrer le service maintenant
systemctl start apache2

# Vérifier l'état du service (doit afficher "active (running)")
systemctl status apache2

• enableCrée un lien symbolique pour lancer Apache automatiquement à chaque démarrage du système.
• startLance le service immédiatement, sans attendre un redémarrage.
• statusAffiche l'état en temps réel : active (running) = tout va bien. Affiche aussi les derniers logs.

Ouvrir le fichier de configuration réseau de Debian :

nano /etc/network/interfaces

Remplacer ou compléter la configuration de l'interface réseau :

# Loopback (ne pas modifier)
auto lo
iface lo inet loopback

# Interface réseau principale
allow-hotplug enp0s3
iface enp0s3 inet static
    address   172.17.21.92
    netmask   255.255.0.0
    gateway   172.17.0.1

• allow-hotplugActive l'interface automatiquement dès qu'un câble est branché ou que la VM démarre. Préférable à auto sur les VM.
• inet staticDéclare une configuration IP statique (fixe), par opposition à inet dhcp qui obtient l'IP automatiquement.
• addressL'adresse IP fixe attribuée à ce serveur. C'est cette IP qui sera utilisée dans le Common Name du certificat SSL.
• netmaskMasque de sous-réseau. Ici 255.255.0.0 = /16. Définit la plage d'adresses du réseau local.
• gatewayAdresse du routeur. Toutes les connexions vers l'extérieur du réseau passent par lui.

Appliquer la nouvelle configuration sans redémarrer la VM :

# Redémarrer le service réseau pour appliquer la config IP fixe
sudo systemctl restart networking

• restart networkingRelit /etc/network/interfaces et réapplique toutes les configurations d'interfaces. La connexion SSH peut être brièvement interrompue.

Trouver l'adresse IP de la VM pour accéder à la page Apache depuis un navigateur.

# Afficher toutes les interfaces réseau et leurs adresses IP
ip a

• ip aRaccourci de ip address. Affiche toutes les interfaces réseau avec leur adresse IPv4/IPv6. Chercher l'interface eth0 ou ens33.

DocumentRoot est le dossier racine servi par Apache. Par défaut sur Debian : /var/www/html

# Ouvrir le fichier index.html dans l'éditeur nano
nano /var/www/html/index.html

# Supprimer le contenu existant, ajouter :
<h1>Mon serveur Apache fonctionne !</h1>

# Sauvegarder : Ctrl+O → Entrée · Quitter : Ctrl+X

• nanoÉditeur de texte en terminal. Simple à utiliser : Ctrl+O pour sauvegarder, Ctrl+X pour quitter.

On crée un dossier dédié pour stocker la clé privée et le certificat.

# Créer le dossier ssl dans la configuration Apache
mkdir /etc/apache2/ssl

# Se déplacer dans ce dossier
cd /etc/apache2/ssl

• mkdirCrée un nouveau répertoire. Ici on le place dans /etc/apache2/ pour regrouper la config SSL avec la config Apache.

Une seule commande OpenSSL génère à la fois la clé privée (server.key) et le certificat autosigné (server.crt). Doit être saisie sur une seule ligne.

openssl req -x509 -nodes -days 365 -newkey rsa:2048 -keyout /etc/apache2/ssl/server.key -out /etc/apache2/ssl/server.crt

• reqSous-commande OpenSSL pour gérer les demandes de certificat (CSR) et les certificats x509.
• -x509Génère directement un certificat autosigné au lieu d'une demande de signature (CSR). Pas besoin d'autorité de certification.
• -nodes"No DES" — La clé privée n'est PAS chiffrée par un mot de passe. Indispensable pour qu'Apache puisse démarrer automatiquement sans intervention humaine.
• -days 365Le certificat est valide pendant 365 jours (1 an). Après cette date, le navigateur affichera une erreur de certificat expiré.
• -newkey rsa:2048Génère simultanément une nouvelle clé RSA de 2048 bits. Taille recommandée — offre un bon équilibre sécurité/performance.
• -keyoutChemin de sortie pour la clé privée (server.key). Doit rester confidentielle — ne jamais la partager.
• -outChemin de sortie pour le certificat (server.crt). C'est lui qui est envoyé au navigateur pour s'identifier.

Country Name (2 letter code) [AU]:FR
State or Province Name (full name) [Some-State]:normadi
Locality Name (eg, city) []:           ← laisser vide (Entrée)
Organization Name (eg, company) [Internet Widgits Pty Ltd]:sio
Organizational Unit Name (eg, section) []:sio
Common Name (e.g. server FQDN or YOUR name) []:m
Email Address []:              ← laisser vide (Entrée)

• Country NameCode pays ISO sur 2 lettres. FR pour France.
• StateRégion ou province. Ici normadi (Normandie).
• LocalityVille. Peut être laissé vide — appuyer sur Entrée.
• OrganizationNom de l'organisation. Ici sio.
• Common NameChamp le plus important — doit correspondre à l'IP ou au nom de domaine du serveur. Le navigateur vérifie ce champ lors de la connexion HTTPS.
• Email AddressPeut être laissé vide — appuyer sur Entrée.

Confirmer que les deux fichiers ont bien été créés.

# Lister le contenu du dossier ssl avec détails
ls -l /etc/apache2/ssl

# Résultat attendu :
# -rw-r--r-- server.crt  → certificat (lisible)
# -rw------- server.key  → clé privée (protégée)

• ls -lAffiche la liste détaillée : permissions, propriétaire, taille, date. Vérifier que server.key a des permissions restrictives (-rw-------) — la clé privée ne doit être lisible que par root.

Apache fonctionne par modules. Le module SSL n'est pas activé par défaut — il faut l'activer explicitement.

# Activer le module SSL d'Apache
a2enmod ssl

# En cas d'erreur "command not found", corriger le PATH :
nano /etc/environment
# Ajouter ou vérifier la ligne suivante :
PATH=/usr/local/bin:/usr/bin:/bin:/usr/local/games:/usr/games:/usr/sbin

• a2enmodApache2 Enable Module. Crée un lien symbolique dans /etc/apache2/mods-enabled/. L'inverse est a2dismod.
• sslLe module SSL/TLS d'Apache. Sans lui, toute directive SSLEngine ou SSLCertificate sera ignorée.

Un VirtualHost est un bloc de configuration qui définit comment Apache répond sur un port ou domaine donné. On en crée un dédié au HTTPS sur le port 443.

# Créer le fichier de configuration du site sécurisé
nano /etc/apache2/sites-available/site-secure.conf

Contenu du fichier de configuration :

# Condition : n'appliquer cette config que si le module SSL est chargé
<IfModule mod_ssl.c>

  # VirtualHost écoutant sur le port HTTPS (443)
  <VirtualHost *:443>

    # Nom du serveur (IP ou nom de domaine)
    ServerName           172.17.219.78

    # Dossier racine des fichiers web servis
    DocumentRoot         /var/www/html

    # Active le moteur SSL/TLS pour ce VirtualHost
    SSLEngine            on

    # Chemin vers le certificat (fichier public)
    SSLCertificateFile   /etc/apache2/ssl/server.crt

    # Chemin vers la clé privée (fichier secret)
    SSLCertificateKeyFile /etc/apache2/ssl/server.key

    # Fichiers de logs
    ErrorLog  ${APACHE_LOG_DIR}/error.log
    CustomLog ${APACHE_LOG_DIR}/access.log combined

  </VirtualHost>
</IfModule>

• IfModuleSécurité de configuration : le bloc est ignoré si mod_ssl n'est pas chargé, évitant une erreur au démarrage d'Apache.
• VirtualHost *:443* = toutes les interfaces réseau. 443 = port HTTPS standard. Apache écoute les connexions chiffrées sur ce port.
• SSLEngine onDirective clé — Active le chiffrement TLS pour ce VirtualHost. Sans elle, même avec les certificats configurés, les connexions resteraient en clair.
• SSLCertificateFileCertificat public (.crt) envoyé au navigateur pour s'identifier. Le navigateur vérifie sa validité.
• SSLCertificateKeyFileClé privée (.key) utilisée pour le chiffrement asymétrique. Ne quitte jamais le serveur.

Activer le site crée un lien symbolique, puis on redémarre Apache pour appliquer les changements.

# Activer le site (crée un lien dans sites-enabled/)
a2ensite site-secure.conf

# Redémarrer Apache pour prendre en compte le nouveau VirtualHost
systemctl restart apache2

• a2ensiteApache2 Enable Site. Crée un lien de sites-available/ vers sites-enabled/. Apache ne lit que les fichiers dans sites-enabled/.
• restartArrête puis relance Apache. Nécessaire pour charger un nouveau VirtualHost (contrairement à reload qui ne suffit pas toujours).

Avant de redémarrer, toujours valider la syntaxe de la configuration pour éviter qu'Apache refuse de démarrer.

# Tester la syntaxe de toute la configuration Apache
apachectl configtest

# Si le résultat est "Syntax OK" → redémarrer
systemctl restart apache2

# Si erreur : lire le message, corriger le fichier indiqué, relancer

• apachectl configtestParse tous les fichiers de configuration et signale les erreurs de syntaxe sans redémarrer Apache. Sortie : Syntax OK ou description de l'erreur.

Apache tient deux fichiers de log principaux. Ils sont essentiels pour diagnostiquer les problèmes.

# Afficher les 10 dernières lignes du log d'accès
# (toutes les requêtes HTTP/HTTPS reçues)
tail -n 10 /var/log/apache2/access.log

# Afficher les 10 dernières lignes du log d'erreurs
# (erreurs de config, SSL, fichiers manquants...)
tail -n 10 /var/log/apache2/error.log

• tail -n 10Affiche les 10 dernières lignes d'un fichier. Ajouter -f pour un suivi en temps réel : tail -f /var/log/apache2/error.log
• access.logChaque requête reçue par Apache y est enregistrée : IP source, méthode HTTP, code de réponse, taille, date.
• error.logErreurs de configuration, problèmes SSL, fichiers introuvables. C'est là qu'on regarde en premier quand quelque chose ne fonctionne pas.

Désactiver temporairement le module SSL pour observer le comportement d'erreur dans les logs.

# Désactiver le module SSL
a2dismod ssl

# Redémarrer Apache (le site HTTPS ne fonctionnera plus)
systemctl restart apache2

# Observer l'erreur dans les logs
tail -n 20 /var/log/apache2/error.log

# ─────────────────────────────────────────────────
# Réactiver le module SSL et relancer Apache
a2enmod ssl
systemctl restart apache2

• a2dismod sslApache2 Disable Module. Supprime le lien symbolique du module SSL. Apache refuse alors de charger toute directive SSLEngine → le site HTTPS devient inaccessible.

Identifier quelles versions de TLS sont négociées entre le client et le serveur.

# Tester si le serveur supporte TLS 1.2
openssl s_client -connect localhost:443 -servername localhost -tls1_2 2>/dev/null | grep Protocol

# Tester si le serveur supporte TLS 1.3
openssl s_client -connect localhost:443 -servername localhost -tls1_3 2>/dev/null | grep Protocol

• s_clientSimule un client SSL/TLS. Ouvre une connexion vers le serveur et affiche les détails de la négociation TLS (version, chiffrement, certificat).
• -connectAdresse et port du serveur à tester. localhost:443 = tester le serveur local sur le port HTTPS.
• -tls1_2Force la connexion en TLS 1.2 uniquement. Si le serveur ne supporte pas cette version, la connexion échoue.
• 2>/dev/nullRedirige les messages d'erreur vers /dev/null (poubelle) pour n'afficher que les résultats utiles.
• grep ProtocolFiltre la sortie pour n'afficher que la ligne contenant la version de protocole TLS négociée.

TLS 1.0 et 1.1 ont des vulnérabilités connues (BEAST, POODLE). On les désactive pour ne garder que TLS 1.2 et 1.3.

# Éditer la configuration SSL globale d'Apache
nano /etc/apache2/mods-available/ssl.conf

Trouver la ligne SSLProtocol et la remplacer par :

# -all : désactive toutes les versions
# +TLSv1.2 +TLSv1.3 : réactive uniquement ces deux versions
SSLProtocol -all +TLSv1.2 +TLSv1.3

# Appliquer les changements
systemctl restart apache2

Lister les algorithmes de chiffrement disponibles, puis restreindre aux suites recommandées.

# Lister tous les chiffrements supportés (en excluant les faibles)
openssl ciphers -v 'ALL:!ADH:!LOW:!EXP:!MD5:!3DES:!PSK:!SRP'

• ciphers -vAffiche la liste détaillée des suites de chiffrement : protocole, échange de clés, authentification, chiffrement, MAC.
• !ADHExclut les suites sans authentification (Anonymous DH) — vulnérables aux attaques man-in-the-middle.
• !LOW !EXPExclut les chiffrements faibles (LOW) et d'exportation (EXP, limités à 40/56 bits).
• !MD5 !3DESExclut les algorithmes obsolètes : MD5 (collisions connues), 3DES (vulnérable à SWEET32).

Renforcer la configuration dans le VirtualHost ou ssl.conf :

# Restreindre aux chiffrements forts (recommandation ANSSI)
SSLCipherSuite      HIGH:!aNULL:!MD5

# Le serveur impose son ordre de préférence (pas celui du client)
SSLHonorCipherOrder on

Tout utilisateur qui arrive en HTTP (port 80) est automatiquement redirigé vers HTTPS (port 443). Indispensable en production.

# Activer le module de réécriture d'URL
sudo a2enmod rewrite

# Éditer le VirtualHost HTTP (port 80)
nano /etc/apache2/sites-available/000-default.conf

Remplacer le contenu du VirtualHost *:80 par :

<VirtualHost *:80>
  ServerName   172.17.219.78
  DocumentRoot /var/www/html

  # Activer le moteur de réécriture
  RewriteEngine On

  # Règle : toute requête HTTP → redirection 301 vers HTTPS
  # ^ = depuis la racine, %{HTTP_HOST} = le nom de domaine, %{REQUEST_URI} = le chemin
  RewriteRule ^ https://%{HTTP_HOST}%{REQUEST_URI} [L,R=301]

  ErrorLog  ${APACHE_LOG_DIR}/error.log
  CustomLog ${APACHE_LOG_DIR}/access.log combined
</VirtualHost>

• RewriteEngine OnActive le moteur de réécriture d'URL dans ce VirtualHost. Sans cette ligne, les règles RewriteRule sont ignorées.
• RewriteRule ^^ correspond au début de l'URL, donc toutes les URL. Toutes les requêtes HTTP sont redirigées.
• [L,R=301]L = Last (stopper l'évaluation des autres règles), R=301 = redirection permanente (Moved Permanently). Le navigateur met en cache cette redirection.

# Appliquer sans couper les connexions actives
systemctl reload apache2

# Vérifier que les ports 80 et 443 sont bien ouverts
ss -tuln | grep -E '80|443'

• reloadRecharge la configuration sans couper les connexions en cours. Suffisant pour les changements de VirtualHost (pas de nouveau module).
• ss -tulnAffiche les sockets réseau en écoute : -t TCP, -u UDP, -l listening, -n sans résolution DNS. HTTP:80 et HTTPS:443 doivent apparaître.