diff options
Diffstat (limited to 'docs/manual/mod/mod_ssl.html.fr')
| -rw-r--r-- | docs/manual/mod/mod_ssl.html.fr | 353 |
1 files changed, 162 insertions, 191 deletions
diff --git a/docs/manual/mod/mod_ssl.html.fr b/docs/manual/mod/mod_ssl.html.fr index 8319c3b0..ea5edf1c 100644 --- a/docs/manual/mod/mod_ssl.html.fr +++ b/docs/manual/mod/mod_ssl.html.fr @@ -9,7 +9,7 @@ <link href="../style/css/manual.css" rel="stylesheet" media="all" type="text/css" title="Main stylesheet" /> <link href="../style/css/manual-loose-100pc.css" rel="alternate stylesheet" media="all" type="text/css" title="No Sidebar - Default font size" /> <link href="../style/css/manual-print.css" rel="stylesheet" media="print" type="text/css" /><link rel="stylesheet" type="text/css" href="../style/css/prettify.css" /> -<script src="../style/scripts/prettify.js" type="text/javascript"> +<script src="../style/scripts/prettify.min.js" type="text/javascript"> </script> <link href="../images/favicon.ico" rel="shortcut icon" /></head> @@ -67,6 +67,7 @@ pour fournir le moteur de chiffrement.</p> <li><img alt="" src="../images/down.gif" /> <a href="#sslocsprespondertimeout">SSLOCSPResponderTimeout</a></li> <li><img alt="" src="../images/down.gif" /> <a href="#sslocspresponsemaxage">SSLOCSPResponseMaxAge</a></li> <li><img alt="" src="../images/down.gif" /> <a href="#sslocspresponsetimeskew">SSLOCSPResponseTimeSkew</a></li> +<li><img alt="" src="../images/down.gif" /> <a href="#sslopensslconfcmd">SSLOpenSSLConfCmd</a></li> <li><img alt="" src="../images/down.gif" /> <a href="#ssloptions">SSLOptions</a></li> <li><img alt="" src="../images/down.gif" /> <a href="#sslpassphrasedialog">SSLPassPhraseDialog</a></li> <li><img alt="" src="../images/down.gif" /> <a href="#sslprotocol">SSLProtocol</a></li> @@ -305,9 +306,7 @@ A des fins de compatibilité ascendante, il existe une fonction de format cryptographique supplémentaire ``<code>%{</code><em>nom</em><code>}c</code>''. Vous trouverez toutes les informations à propos de cette fonction dans le chapitre <a href="../ssl/ssl_compat.html">Compatibilité</a>.</p> -<div class="example"><h3>Exemple</h3><pre class="prettyprint lang-config"> -CustomLog logs/ssl_request_log "%t %h %{SSL_PROTOCOL}x %{SSL_CIPHER}x \"%r\" %b" -</pre> +<div class="example"><h3>Exemple</h3><pre class="prettyprint lang-config">CustomLog logs/ssl_request_log "%t %h %{SSL_PROTOCOL}x %{SSL_CIPHER}x \"%r\" %b"</pre> </div> </div><div class="top"><a href="#page-header"><img alt="top" src="../images/up.gif" /></a></div> <div class="section"> @@ -355,9 +354,7 @@ disponibles avec Require</a></h2> directive <code class="directive">SSLRequireSSL</code>.</p> - <pre class="prettyprint lang-config"> - Require ssl -</pre> + <pre class="prettyprint lang-config">Require ssl</pre> @@ -373,10 +370,8 @@ disponibles avec Require</a></h2> authentifié via un certificat client ou par nom d'utilisateur/mot de passe :</p> - <pre class="prettyprint lang-config"> - Require ssl-verify-client<br /> - Require valid-user - </pre> + <pre class="prettyprint lang-config"> Require ssl-verify-client<br /> + Require valid-user</pre> @@ -400,9 +395,7 @@ l'authentification des clients. Un tel fichier contient la simple concaténation des différents fichiers de certificats codés en PEM, par ordre de préférence. Cette directive peut être utilisée à la place et/ou en complément de la directive <code class="directive"><a href="#sslcacertificatepath">SSLCACertificatePath</a></code>.</p> -<div class="example"><h3>Exemple</h3><pre class="prettyprint lang-config"> -SSLCACertificateFile /usr/local/apache2/conf/ssl.crt/ca-bundle-client.crt -</pre> +<div class="example"><h3>Exemple</h3><pre class="prettyprint lang-config">SSLCACertificateFile /usr/local/apache2/conf/ssl.crt/ca-bundle-client.crt</pre> </div> </div> @@ -428,9 +421,7 @@ suffit donc pas de placer les fichiers de certificats dans ce répertoire : vous devez aussi créer des liens symboliques nommés <em>valeur-de-hashage</em><code>.N</code>, et vous devez toujours vous assurer que ce répertoire contient les liens symboliques appropriés.</p> -<div class="example"><h3>Exemple</h3><pre class="prettyprint lang-config"> -SSLCACertificatePath /usr/local/apache2/conf/ssl.crt/ -</pre> +<div class="example"><h3>Exemple</h3><pre class="prettyprint lang-config">SSLCACertificatePath /usr/local/apache2/conf/ssl.crt/</pre> </div> </div> @@ -469,9 +460,7 @@ directives.</p> spécifier un fichier <em>tout-en-un</em> contenant une concaténation des certificats de CA codés en PEM.</p> -<div class="example"><h3>Exemple</h3><pre class="prettyprint lang-config"> -SSLCADNRequestFile /usr/local/apache2/conf/ca-names.crt -</pre> +<div class="example"><h3>Exemple</h3><pre class="prettyprint lang-config">SSLCADNRequestFile /usr/local/apache2/conf/ca-names.crt</pre> </div> </div> @@ -497,9 +486,7 @@ suffit donc pas de placer les fichiers de certificats dans ce répertoire : vous devez aussi créer des liens symboliques nommés <em>valeur-de-hashage</em><code>.N</code>, et vous devez toujours vous assurer que ce répertoire contient les liens symboliques appropriés.</p> -<div class="example"><h3>Exemple</h3><pre class="prettyprint lang-config"> -SSLCADNRequestPath /usr/local/apache2/conf/ca-names.crt/ -</pre> +<div class="example"><h3>Exemple</h3><pre class="prettyprint lang-config">SSLCADNRequestPath /usr/local/apache2/conf/ca-names.crt/</pre> </div> </div> @@ -535,9 +522,7 @@ validation réussisse ; dans le cas contraire, elle échouera avec une erreur <code>"CRL introuvable"</code>. </p> </div> -<div class="example"><h3>Exemple</h3><pre class="prettyprint lang-config"> -SSLCARevocationCheck chain -</pre> +<div class="example"><h3>Exemple</h3><pre class="prettyprint lang-config">SSLCARevocationCheck chain</pre> </div> </div> @@ -559,9 +544,7 @@ les utilise pour l'authentification des clients. Un tel fichier contient la simple concaténation des différents fichiers de CRLs codés en PEM, dans l'ordre de préférence. Cette directive peut être utilisée à la place et/ou en complément de la directive <code class="directive"><a href="#sslcarevocationpath">SSLCARevocationPath</a></code>.</p> -<div class="example"><h3>Exemple</h3><pre class="prettyprint lang-config"> -SSLCARevocationFile /usr/local/apache2/conf/ssl.crl/ca-bundle-client.crl -</pre> +<div class="example"><h3>Exemple</h3><pre class="prettyprint lang-config">SSLCARevocationFile /usr/local/apache2/conf/ssl.crl/ca-bundle-client.crl</pre> </div> </div> @@ -588,9 +571,7 @@ suffit donc pas de placer les fichiers de CRL dans ce répertoire : vous devez aussi créer des liens symboliques nommés <em>valeur-de-hashage</em><code>.N</code>, et vous devez toujours vous assurer que ce répertoire contient les liens symboliques appropriés.</p> -<div class="example"><h3>Exemple</h3><pre class="prettyprint lang-config"> -SSLCARevocationPath /usr/local/apache2/conf/ssl.crl/ -</pre> +<div class="example"><h3>Exemple</h3><pre class="prettyprint lang-config">SSLCARevocationPath /usr/local/apache2/conf/ssl.crl/</pre> </div> </div> @@ -604,6 +585,13 @@ PEM</td></tr> <tr><th><a href="directive-dict.html#Status">Statut:</a></th><td>Extension</td></tr> <tr><th><a href="directive-dict.html#Module">Module:</a></th><td>mod_ssl</td></tr> </table> +<div class="note"><h3>SSLCertificateChainFile est obsolète</h3> +<p><code>SSLCertificateChainFile</code> est devenue obsolète avec la +version 2.4.8, lorsque la directive +<code class="directive"><a href="#sslcertificatefile">SSLCertificateFile</a></code> a été étendue +pour supporter aussi les certificats de CA intermédiaires dans le +fichier de certificats du serveur.</p> +</div> <p> Cette directive permet de définir le fichier optionnel <em>tout-en-un</em> où vous pouvez rassembler les certificats des @@ -632,36 +620,53 @@ couplés RSA+DSA , cela ne fonctionnera que si les deux certificats utilisent vraiment <em>la même</em> chaîne de certification. Dans le cas contraire, la confusion risque de s'installer au niveau des navigateurs.</p> -<div class="example"><h3>Exemple</h3><pre class="prettyprint lang-config"> -SSLCertificateChainFile /usr/local/apache2/conf/ssl.crt/ca.crt -</pre> +<div class="example"><h3>Exemple</h3><pre class="prettyprint lang-config">SSLCertificateChainFile /usr/local/apache2/conf/ssl.crt/ca.crt</pre> </div> </div> <div class="top"><a href="#page-header"><img alt="top" src="../images/up.gif" /></a></div> <div class="directive-section"><h2><a name="SSLCertificateFile" id="SSLCertificateFile">SSLCertificateFile</a> <a name="sslcertificatefile" id="sslcertificatefile">Directive</a></h2> <table class="directive"> -<tr><th><a href="directive-dict.html#Description">Description:</a></th><td>Fichier contenant le certificat X.509 du serveur codé en +<tr><th><a href="directive-dict.html#Description">Description:</a></th><td>Fichier de données contenant le certificat X.509 du serveur codé en PEM</td></tr> <tr><th><a href="directive-dict.html#Syntax">Syntaxe:</a></th><td><code>SSLCertificateFile <em>chemin-fichier</em></code></td></tr> <tr><th><a href="directive-dict.html#Context">Contexte:</a></th><td>configuration du serveur, serveur virtuel</td></tr> <tr><th><a href="directive-dict.html#Status">Statut:</a></th><td>Extension</td></tr> <tr><th><a href="directive-dict.html#Module">Module:</a></th><td>mod_ssl</td></tr> </table> +<p>Cette directive permet de définir le fichier de données contenant +les informations de certificat +X.509 du serveur codées au format PEM. Ce fichier doit contenir +au minimum un certificat d'entité finale (feuille). Depuis la version +2.4.8, il peut aussi contenir des certificats de CA +intermédiaires triés des feuilles à la racine, ainsi que des +<code class="directive"><a href="#sslcertificatechainfile">SSLCertificateChainFile</a></code> +(obsolètes). +</p> + +<p>Des éléments additionnels peuvent être présents, comme des paramètres +DH et/ou le nom EC curve pour les clés ephémères, respectivement générés +par <code>openssl dhparam</code> et <code>openssl ecparam</code> +(supporté à partir de la version 2.4.7), et +enfin la clé privée du certificat d'entité finale. Si la clé privée est +chiffrée, une boîte de dialogue demandant le mot de passe s'ouvre au +démarrage.</p> + +<p> +Cette directive peut être utilisée plusieurs fois pour référencer +différents noms de fichiers, afin de supporter plusieurs algorithmes +pour l'authentification du serveur - en général RSA, DSA et ECC. Le +nombre d'algorithmes supportés dépend de la version d'OpenSSL utilisée +pour mod_ssl : à partir de la version 1.0.0, la commande <code>openssl +list-public-key-algorithms</code> renvoie la liste de ces algorithmes.</p> + <p> -Cette directive permet de définir le fichier contenant le certificat -X.509 du serveur codé au format PEM, éventuellement sa -clé privée, et enfin (depuis la version 2.4.7) les -paramètres DH et/ou un nom EC curve pour les clés -éphémères (générés respectivement par <code>openssl dhparam</code> et -<code>openssl ecparam</code>). Si la clé privée est chiffrée, -l'ouverture d'une boîte de dialogue pour entrer le mot de passe est -forcée au démarrage du serveur.</p> -<p>Cette directive peut être utilisée jusqu'à trois fois (pour -référencer différents fichiers) lorsque des certificats de serveur basés -sur RSA, DSA et ECC sont utilisés en parallèle. Notez que les paramètres -DH et ECDH ne sont lus que par la première directive -<code class="directive">SSLCertificateFile</code>.</p> +A partir de la version 1.0.2 d'OpenSSL, cette directive permet de +configurer la chaîne de certification en fonction du certificat, ce qui +supprime une limitation de la directive obsolète <code class="directive"><a href="#sslcertificatechainfile">SSLCertificateChainFile</a></code>. Cependant, les +paramètres DH et ECDH ne sont lus que depuis la première directive +<code class="directive">SSLCertificateFile</code> car ils s'appliquent +indépendamment du type d'algorithme d'authentification.</p> <div class="note"> <h3>Interopérabilité des paramètres DH avec les nombres premiers de @@ -678,9 +683,7 @@ contourner les problèmes de ce genre. </p> </div> -<div class="example"><h3>Exemple</h3><pre class="prettyprint lang-config"> -SSLCertificateFile /usr/local/apache2/conf/ssl.crt/server.crt -</pre> +<div class="example"><h3>Exemple</h3><pre class="prettyprint lang-config">SSLCertificateFile /usr/local/apache2/conf/ssl.crt/server.crt</pre> </div> </div> @@ -694,24 +697,21 @@ PEM</td></tr> <tr><th><a href="directive-dict.html#Status">Statut:</a></th><td>Extension</td></tr> <tr><th><a href="directive-dict.html#Module">Module:</a></th><td>mod_ssl</td></tr> </table> -<p> -Cette directive permet de définir le fichier contenant la clé privée du -serveur codée en PEM. Si la clé privée n'est pas associée au certificat +<p>Cette directive permet de définir le fichier contenant la clé privée du +serveur codée en PEM (la clé privée peut être associée au certificat dans le fichier défini par la directive -<code class="directive">SSLCertificateFile</code>, utilisez cette directive pour -définir le fichier contenant la clé privée seule. Cette directive est -inutile si le fichier défini par la directive -<code class="directive">SSLCertificateFile</code> contient à la fois le -certificat et la clé privée. Nous déconseillons cependant fortement -cette pratique et nous recommandons plutôt de séparer le certificat de -la clé privée. Si la clé privée est chiffrée, le mot de passe sera -demandé au démarrage. Cette directive peut être -utilisée trois fois (pour référencer des noms de fichiers différents), -lorsque des clés privées RSA, DSA et ECC sont utilisées en -parallèle.</p> -<div class="example"><h3>Exemple</h3><pre class="prettyprint lang-config"> -SSLCertificateKeyFile /usr/local/apache2/conf/ssl.key/server.key -</pre> +<code class="directive">SSLCertificateFile</code>, mais cette pratique est +déconseillée). Si la clé privée est +chiffrée, une boîte de dialogue demandant le mot de passe s'ouvre au +démarrage.</p> + +<p> +Cette directive peut être utilisée plusieurs fois pour référencer +différents noms de fichiers, afin de supporter plusieurs algorithmes +pour l'authentification du serveur. A chaque directive <code class="directive"><a href="#sslcertificatekeyfile">SSLCertificateKeyFile</a></code> doit être associée +une directive <code class="directive">SSLCertificateFile</code> correspondante. +</p> +<div class="example"><h3>Exemple</h3><pre class="prettyprint lang-config">SSLCertificateKeyFile /usr/local/apache2/conf/ssl.key/server.key</pre> </div> </div> @@ -879,21 +879,17 @@ authentification sont exclus, comme les algorithmes anonymes Diffie-Hellman pour SSL, ainsi que tous les algorithmes qui utilisent <code>MD5</code> pour le hashage, car celui-ci est reconnu comme insuffisant.</p> -<div class="example"><pre> -$ openssl ciphers -v 'RC4-SHA:AES128-SHA:HIGH:MEDIUM:!aNULL:!MD5' +<div class="example"><pre>$ openssl ciphers -v 'RC4-SHA:AES128-SHA:HIGH:MEDIUM:!aNULL:!MD5' RC4-SHA SSLv3 Kx=RSA Au=RSA Enc=RC4(128) Mac=SHA1 AES128-SHA SSLv3 Kx=RSA Au=RSA Enc=AES(128) Mac=SHA1 DHE-RSA-AES256-SHA SSLv3 Kx=DH Au=RSA Enc=AES(256) Mac=SHA1 ... ... ... ... ... SEED-SHA SSLv3 Kx=RSA Au=RSA Enc=SEED(128) Mac=SHA1 PSK-RC4-SHA SSLv3 Kx=PSK Au=PSK Enc=RC4(128) Mac=SHA1 -KRB5-RC4-SHA SSLv3 Kx=KRB5 Au=KRB5 Enc=RC4(128) Mac=SHA1 -</pre></div> +KRB5-RC4-SHA SSLv3 Kx=KRB5 Au=KRB5 Enc=RC4(128) Mac=SHA1</pre></div> <p>Vous trouverez la liste complète des algorithmes RSA & DH spécifiques à SSL dans la <a href="#table2">Table 2</a>.</p> -<div class="example"><h3>Exemple</h3><pre class="prettyprint lang-config"> -SSLCipherSuite RSA:!EXP:!NULL:+HIGH:+MEDIUM:-LOW -</pre> +<div class="example"><h3>Exemple</h3><pre class="prettyprint lang-config">SSLCipherSuite RSA:!EXP:!NULL:+HIGH:+MEDIUM:-LOW</pre> </div> <table class="bordered"> @@ -971,10 +967,8 @@ qu'avec la version 0.9.6, il faut utiliser les distributions séparées <p>Pour déterminer les moteurs supportés, exécutez la commande "<code>openssl engine</code>".</p> -<div class="example"><h3>Exemple</h3><pre class="prettyprint lang-config"> -# Pour un accélérateur Broadcom : -SSLCryptoDevice ubsec -</pre> +<div class="example"><h3>Exemple</h3><pre class="prettyprint lang-config"># Pour un accélérateur Broadcom : +SSLCryptoDevice ubsec</pre> </div> </div> @@ -994,12 +988,10 @@ SSL/TLS. Elle doit être utilisée dans une section <code class="directive"><a hre SSL/TLS pour ce serveur virtuel particulier. Par défaut, le moteur du protocole SSL/TLS est désactivé pour le serveur principal et tous les serveurs virtuels configurés.</p> -<div class="example"><h3>Exemple</h3><pre class="prettyprint lang-config"> -<VirtualHost _default_:443> +<div class="example"><h3>Exemple</h3><pre class="prettyprint lang-config"><VirtualHost _default_:443> SSLEngine on #... -</VirtualHost> -</pre> +</VirtualHost></pre> </div> <p>Depuis la version 2.1 d'Apache, la directive <code class="directive">SSLEngine</code> peut être définie à @@ -1044,7 +1036,8 @@ applicable. <table class="directive"> <tr><th><a href="directive-dict.html#Description">Description:</a></th><td>Option permettant de classer les algorithmes de chiffrement du serveur par ordre de préférence</td></tr> -<tr><th><a href="directive-dict.html#Syntax">Syntaxe:</a></th><td><code>SSLHonorCipherOrder <em>flag</em></code></td></tr> +<tr><th><a href="directive-dict.html#Syntax">Syntaxe:</a></th><td><code>SSLHonorCipherOrder on|off</code></td></tr> +<tr><th><a href="directive-dict.html#Default">Défaut:</a></th><td><code>SSLHonorCipherOrder off</code></td></tr> <tr><th><a href="directive-dict.html#Context">Contexte:</a></th><td>configuration du serveur, serveur virtuel</td></tr> <tr><th><a href="directive-dict.html#Status">Statut:</a></th><td>Extension</td></tr> <tr><th><a href="directive-dict.html#Module">Module:</a></th><td>mod_ssl</td></tr> @@ -1055,9 +1048,7 @@ d'utiliser une version 0.9.7 ou supérieure d'OpenSSL</td></tr> compte lors du choix d'un algorithme de chiffrement au cours d'une négociation SSLv3 ou TLSv1. Si cette directive est activée, ce sont les préférences du serveur qui seront prises en compte à la place.</p> -<div class="example"><h3>Exemple</h3><pre class="prettyprint lang-config"> -SSLHonorCipherOrder on -</pre> +<div class="example"><h3>Exemple</h3><pre class="prettyprint lang-config">SSLHonorCipherOrder on</pre> </div> </div> @@ -1066,7 +1057,7 @@ SSLHonorCipherOrder on <table class="directive"> <tr><th><a href="directive-dict.html#Description">Description:</a></th><td>Option permettant d'activer le support de la renégociation non sécurisée</td></tr> -<tr><th><a href="directive-dict.html#Syntax">Syntaxe:</a></th><td><code>SSLInsecureRenegotiation <em>drapeau</em></code></td></tr> +<tr><th><a href="directive-dict.html#Syntax">Syntaxe:</a></th><td><code>SSLInsecureRenegotiation on|off</code></td></tr> <tr><th><a href="directive-dict.html#Default">Défaut:</a></th><td><code>SSLInsecureRenegotiation off</code></td></tr> <tr><th><a href="directive-dict.html#Context">Contexte:</a></th><td>configuration du serveur, serveur virtuel</td></tr> <tr><th><a href="directive-dict.html#Status">Statut:</a></th><td>Extension</td></tr> @@ -1094,9 +1085,7 @@ clients (non patchés), quoique de manière non sécurisée</p> aux attaques de type préfixe Man-in-the-Middle comme décrit dans <a href="http://cve.mitre.org/cgi-bin/cvename.cgi?name=CAN-2009-3555">CVE-2009-3555</a>.</p> </div> -<div class="example"><h3>Exemple</h3><pre class="prettyprint lang-config"> -SSLInsecureRenegotiation on -</pre> +<div class="example"><h3>Exemple</h3><pre class="prettyprint lang-config">SSLInsecureRenegotiation on</pre> </div> <p>La variable d'environnement <code>SSL_SECURE_RENEG</code> peut être @@ -1128,7 +1117,8 @@ spécifié dans le certificat en cours de vérification.</p> <table class="directive"> <tr><th><a href="directive-dict.html#Description">Description:</a></th><td>Active la validation OCSP de la chaîne de certificats du client</td></tr> -<tr><th><a href="directive-dict.html#Syntax">Syntaxe:</a></th><td><code>SSLOCSPEnable <em>drapeau</em></code></td></tr> +<tr><th><a href="directive-dict.html#Syntax">Syntaxe:</a></th><td><code>SSLOCSPEnable on|off</code></td></tr> +<tr><th><a href="directive-dict.html#Default">Défaut:</a></th><td><code>SSLOCSPEnable off</code></td></tr> <tr><th><a href="directive-dict.html#Context">Contexte:</a></th><td>configuration du serveur, serveur virtuel</td></tr> <tr><th><a href="directive-dict.html#Status">Statut:</a></th><td>Extension</td></tr> <tr><th><a href="directive-dict.html#Module">Module:</a></th><td>mod_ssl</td></tr> @@ -1144,12 +1134,10 @@ incluse).</p> <p>Le répondeur OCSP utilisé est soit extrait du certificat lui-même, soit spécifié dans la configuration ; voir les directives <code class="directive"><a href="#sslocspdefaultresponder">SSLOCSPDefaultResponder</a></code> et <code class="directive"><a href="#sslocspoverrideresponder">SSLOCSPOverrideResponder</a></code>.</p> -<div class="example"><h3>Exemple</h3><pre class="prettyprint lang-config"> -SSLVerifyClient on +<div class="example"><h3>Exemple</h3><pre class="prettyprint lang-config">SSLVerifyClient on SSLOCSPEnable on SSLOCSPDefaultResponder http://responder.example.com:8888/responder -SSLOCSPOverrideResponder on -</pre> +SSLOCSPOverrideResponder on</pre> </div> </div> @@ -1158,7 +1146,8 @@ SSLOCSPOverrideResponder on <table class="directive"> <tr><th><a href="directive-dict.html#Description">Description:</a></th><td>Force l'utilisation de l'URI du répondeur par défaut pour la validation OCSP</td></tr> -<tr><th><a href="directive-dict.html#Syntax">Syntaxe:</a></th><td><code>SSLOCSPOverrideResponder <em>drapeau</em></code></td></tr> +<tr><th><a href="directive-dict.html#Syntax">Syntaxe:</a></th><td><code>SSLOCSPOverrideResponder on|off</code></td></tr> +<tr><th><a href="directive-dict.html#Default">Défaut:</a></th><td><code>SSLOCSPOverrideResponder off</code></td></tr> <tr><th><a href="directive-dict.html#Context">Contexte:</a></th><td>configuration du serveur, serveur virtuel</td></tr> <tr><th><a href="directive-dict.html#Status">Statut:</a></th><td>Extension</td></tr> <tr><th><a href="directive-dict.html#Module">Module:</a></th><td>mod_ssl</td></tr> @@ -1225,6 +1214,44 @@ autorisée pour les réponses OCSP (lors de la vérification des champs </div> <div class="top"><a href="#page-header"><img alt="top" src="../images/up.gif" /></a></div> +<div class="directive-section"><h2><a name="SSLOpenSSLConfCmd" id="SSLOpenSSLConfCmd">SSLOpenSSLConfCmd</a> <a name="sslopensslconfcmd" id="sslopensslconfcmd">Directive</a></h2> +<table class="directive"> +<tr><th><a href="directive-dict.html#Description">Description:</a></th><td>Configuration des paramètres d'OpenSSL via son API <em>SSL_CONF</em></td></tr> +<tr><th><a href="directive-dict.html#Syntax">Syntaxe:</a></th><td><code>SSLOpenSSLConfCmd <em>commande</em> <em>valeur</em></code></td></tr> +<tr><th><a href="directive-dict.html#Context">Contexte:</a></th><td>configuration du serveur, serveur virtuel</td></tr> +<tr><th><a href="directive-dict.html#Status">Statut:</a></th><td>Extension</td></tr> +<tr><th><a href="directive-dict.html#Module">Module:</a></th><td>mod_ssl</td></tr> +<tr><th><a href="directive-dict.html#Compatibility">Compatibilité:</a></th><td>Disponible depuis la version 2.4.8 du serveur HTTP +Apache avec OpenSSL 1.0.2 ou supérieur</td></tr> +</table> +<p>Cette directive permet à mod_ssl d'accéder à l'API <em>SSL_CONF</em> +d'OpenSSL. Il n'est ainsi plus nécessaire d'implémenter des +directives supplémentaires pour <code class="module"><a href="../mod/mod_ssl.html">mod_ssl</a></code> lorsque de nouvelles +fonctionnalités sont ajoutées à OpenSSL, ce qui rend la configuration de +ce dernier beaucoup plus souple.</p> + +<p>Le jeu de commandes disponibles pour la directive +<code class="directive">SSLOpenSSLConfCmd</code> dépend de la version d'OpenSSL +utilisée pour <code class="module"><a href="../mod/mod_ssl.html">mod_ssl</a></code> (la version minimale 1.0.2 est un +prérequis). Pour obtenir la liste des commandes supportées, voir la +section <em>Supported configuration file commands</em> de la page de +manuel <a href="http://www.openssl.org/docs/ssl/SSL_CONF_cmd.html#SUPPORTED_CONFIGURATION_FILE_COM">SSL_CONF_cmd(3)</a> +d'OpenSSL.</p> + +<p>Certaines commandes peuvent remplacer des directives existantes +(comme <code class="directive"><a href="#sslciphersuite">SSLCipherSuite</a></code> ou +<code class="directive"><a href="#sslprotocol">SSLProtocol</a></code>) ; notez cependant +que la syntaxe et/ou les valeurs possibles peuvent différer.</p> + +<div class="example"><h3>Examples</h3><pre class="prettyprint lang-config">SSLOpenSSLConfCmd Options -SessionTicket,ServerPreference +SSLOpenSSLConfCmd ECDHParameters brainpoolP256r1 +SSLOpenSSLConfCmd ServerInfoFile /usr/local/apache2/conf/server-info.pem +SSLOpenSSLConfCmd Protocol "-ALL, TLSv1.2" +SSLOpenSSLConfCmd SignatureAlgorithms RSA+SHA384:ECDSA+SHA256</pre> +</div> + +</div> +<div class="top"><a href="#page-header"><img alt="top" src="../images/up.gif" /></a></div> <div class="directive-section"><h2><a name="SSLOptions" id="SSLOptions">SSLOptions</a> <a name="ssloptions" id="ssloptions">Directive</a></h2> <table class="directive"> <tr><th><a href="directive-dict.html#Description">Description:</a></th><td>Configure différentes options d'exécution du moteur SSL</td></tr> @@ -1346,12 +1373,10 @@ Les <em>option</em>s disponibles sont :</p> </p> </li> </ul> -<div class="example"><h3>Exemple</h3><pre class="prettyprint lang-config"> -SSLOptions +FakeBasicAuth -StrictRequire +<div class="example"><h3>Exemple</h3><pre class="prettyprint lang-config">SSLOptions +FakeBasicAuth -StrictRequire <Files ~ "\.(cgi|shtml)$"> SSLOptions +StdEnvVars -ExportCertData -<Files> -</pre> +<Files></pre> </div> </div> @@ -1440,9 +1465,7 @@ cette demande peut être formulée parmi les trois suivantes :</p> termes, le programme externe n'est appelé qu'une fois par mot de passe unique.</p></li> </ul> -<div class="example"><h3>Exemple</h3><pre class="prettyprint lang-config"> -SSLPassPhraseDialog exec:/usr/local/apache/sbin/pp-filter -</pre> +<div class="example"><h3>Exemple</h3><pre class="prettyprint lang-config">SSLPassPhraseDialog exec:/usr/local/apache/sbin/pp-filter</pre> </div> </div> @@ -1489,9 +1512,7 @@ casse) :</p> C'est un raccourci pour ``<code>+SSLv3 +TLSv1</code>'' ou - à partir de la version 1.0.1 d'OpenSSL - ``<code>+SSLv3 +TLSv1 +TLSv1.1 +TLSv1.2</code>.</p></li> </ul> -<div class="example"><h3>Exemple</h3><pre class="prettyprint lang-config"> -SSLProtocol TLSv1 -</pre> +<div class="example"><h3>Exemple</h3><pre class="prettyprint lang-config">SSLProtocol TLSv1</pre> </div> </div> @@ -1513,10 +1534,8 @@ lors de l'authentification du serveur distant. Un tel fichier contient la simple concaténation des différents fichiers de certificats codés en PEM, classés par ordre de préférence. On peut utiliser cette directive à la place et/ou en complément de la directive <code class="directive"><a href="#sslproxycacertificatepath">SSLProxyCACertificatePath</a></code>.</p> -<div class="example"><h3>Exemple</h3><pre class="prettyprint lang-config"> -SSLProxyCACertificateFile -/usr/local/apache2/conf/ssl.crt/ca-bundle-serveur.distant.crt -</pre> +<div class="example"><h3>Exemple</h3><pre class="prettyprint lang-config">SSLProxyCACertificateFile +/usr/local/apache2/conf/ssl.crt/ca-bundle-serveur.distant.crt</pre> </div> </div> @@ -1543,9 +1562,7 @@ suffit donc pas de placer les fichiers de certificats dans ce répertoire : vous devez aussi créer des liens symboliques nommés <em>valeur-de-hashage</em><code>.N</code>, et vous devez toujours vous assurer que ce répertoire contient les liens symboliques appropriés.</p> -<div class="example"><h3>Exemple</h3><pre class="prettyprint lang-config"> -SSLProxyCACertificatePath /usr/local/apache2/conf/ssl.crt/ -</pre> +<div class="example"><h3>Exemple</h3><pre class="prettyprint lang-config">SSLProxyCACertificatePath /usr/local/apache2/conf/ssl.crt/</pre> </div> </div> @@ -1583,9 +1600,7 @@ validation réussisse ; dans le cas contraire, elle échouera avec une erreur <code>"CRL introuvable"</code>. </p> </div> -<div class="example"><h3>Exemple</h3><pre class="prettyprint lang-config"> -SSLProxyCARevocationCheck chain -</pre> +<div class="example"><h3>Exemple</h3><pre class="prettyprint lang-config">SSLProxyCARevocationCheck chain</pre> </div> </div> @@ -1608,10 +1623,8 @@ distants. Un tel fichier contient la simple concaténation des différents fichiers de CRLs codés en PEM, classés par ordre de préférence. Cette directive peut être utilisée à la place et/ou en complément de la directive <code class="directive"><a href="#sslproxycarevocationpath">SSLProxyCARevocationPath</a></code>.</p> -<div class="example"><h3>Exemple</h3><pre class="prettyprint lang-config"> -SSLProxyCARevocationFile -/usr/local/apache2/conf/ssl.crl/ca-bundle-serveur.distant.crl -</pre> +<div class="example"><h3>Exemple</h3><pre class="prettyprint lang-config">SSLProxyCARevocationFile +/usr/local/apache2/conf/ssl.crl/ca-bundle-serveur.distant.crl</pre> </div> </div> @@ -1638,9 +1651,7 @@ suffit donc pas de placer les fichiers de CRL dans ce répertoire : vous devez aussi créer des liens symboliques nommés <em>valeur-de-hashage</em><code>.rN</code>, et vous devez toujours vous assurer que ce répertoire contient les liens symboliques appropriés.</p> -<div class="example"><h3>Exemple</h3><pre class="prettyprint lang-config"> -SSLProxyCARevocationPath /usr/local/apache2/conf/ssl.crl/ -</pre> +<div class="example"><h3>Exemple</h3><pre class="prettyprint lang-config">SSLProxyCARevocationPath /usr/local/apache2/conf/ssl.crl/</pre> </div> </div> @@ -1667,9 +1678,7 @@ A partir de la version 2.4.5, SSLProxyCheckPeerCN a été remplacé par <code class n'est prise en compte que si <code>SSLProxyCheckPeerName off</code> a été spécifié. </p> -<div class="example"><h3>Exemple</h3><pre class="prettyprint lang-config"> -SSLProxyCheckPeerCN on -</pre> +<div class="example"><h3>Exemple</h3><pre class="prettyprint lang-config">SSLProxyCheckPeerCN on</pre> </div> </div> @@ -1690,9 +1699,7 @@ Cette directive permet de définir si l'expiration du certificat du serveur distant doit être vérifiée ou non. Si la vérification échoue, un code d'état 502 (Bad Gateway) est envoyé. </p> -<div class="example"><h3>Exemple</h3><pre class="prettyprint lang-config"> -SSLProxyCheckPeerExpire on -</pre> +<div class="example"><h3>Exemple</h3><pre class="prettyprint lang-config">SSLProxyCheckPeerExpire on</pre> </div> </div> @@ -1776,12 +1783,10 @@ mandataire direct (via les directives <Proxy> ou un serveur mandataire direct pour les requêtes SSL/TLS.</p> -<div class="example"><h3>Exemple</h3><pre class="prettyprint lang-config"> -<VirtualHost _default_:443> +<div class="example"><h3>Exemple</h3><pre class="prettyprint lang-config"><VirtualHost _default_:443> SSLProxyEngine on #... -</VirtualHost> -</pre> +</VirtualHost></pre> </div> </div> @@ -1814,9 +1819,7 @@ construite. fichier spécifié seront considérés comme étant de confiance, comme s'ils étaient aussi désignés dans la directive <code class="directive"><a href="#sslproxycacertificatefile">SSLProxyCACertificateFile</a></code>.</p> </div> -<div class="example"><h3>Exemple</h3><pre class="prettyprint lang-config"> -SSLProxyMachineCertificateChainFile /usr/local/apache2/conf/ssl.crt/proxyCA.pem -</pre> +<div class="example"><h3>Exemple</h3><pre class="prettyprint lang-config">SSLProxyMachineCertificateChainFile /usr/local/apache2/conf/ssl.crt/proxyCA.pem</pre> </div> </div> @@ -1845,9 +1848,7 @@ directive s'utilise à la place ou en complément de la directive <div class="warning"> <p>Actuellement, les clés privées chiffrées ne sont pas supportées.</p> </div> -<div class="example"><h3>Exemple</h3><pre class="prettyprint lang-config"> -SSLProxyMachineCertificateFile /usr/local/apache2/conf/ssl.crt/proxy.pem -</pre> +<div class="example"><h3>Exemple</h3><pre class="prettyprint lang-config">SSLProxyMachineCertificateFile /usr/local/apache2/conf/ssl.crt/proxy.pem</pre> </div> </div> @@ -1875,9 +1876,7 @@ assurer que ce répertoire contient les liens symboliques appropriés.</p> <div class="warning"> <p>Actuellement, les clés privées chiffrées ne sont pas supportées.</p> </div> -<div class="example"><h3>Exemple</h3><pre class="prettyprint lang-config"> -SSLProxyMachineCertificatePath /usr/local/apache2/conf/proxy.crt/ -</pre> +<div class="example"><h3>Exemple</h3><pre class="prettyprint lang-config">SSLProxyMachineCertificatePath /usr/local/apache2/conf/proxy.crt/</pre> </div> </div> @@ -1939,9 +1938,7 @@ le niveau <strong>optional_no_ca</strong> va tout à fait à l'encontre de l'idée que l'on peut se faire de l'authentification (mais peut tout de même être utilisé pour établir des pages de test SSL, etc...).</p> -<div class="example"><h3>Exemple</h3><pre class="prettyprint lang-config"> -SSLProxyVerify require -</pre> +<div class="example"><h3>Exemple</h3><pre class="prettyprint lang-config">SSLProxyVerify require</pre> </div> </div> @@ -1973,9 +1970,7 @@ auto-signé, soit signé par une CA connue directement du serveur (en d'autres termes, le certificat de CA est référencé par la directive <code class="directive"><a href="#sslproxycacertificatepath">SSLProxyCACertificatePath</a></code>), etc...</p> -<div class="example"><h3>Exemple</h3><pre class="prettyprint lang-config"> -SSLProxyVerifyDepth 10 -</pre> +<div class="example"><h3>Exemple</h3><pre class="prettyprint lang-config">SSLProxyVerifyDepth 10</pre> </div> </div> @@ -2067,15 +2062,13 @@ Les différentes valeurs de <em>source</em> disponibles sont :</p> si votre plate-forme ne possède pas de périphérique random ou urandom.</p></li> </ul> -<div class="example"><h3>Exemple</h3><pre class="prettyprint lang-config"> -SSLRandomSeed startup builtin +<div class="example"><h3>Exemple</h3><pre class="prettyprint lang-config">SSLRandomSeed startup builtin SSLRandomSeed startup file:/dev/random SSLRandomSeed startup file:/dev/urandom 1024 SSLRandomSeed startup exec:/usr/local/bin/truerand 16 SSLRandomSeed connect builtin SSLRandomSeed connect file:/dev/random -SSLRandomSeed connect file:/dev/urandom 1024 -</pre> +SSLRandomSeed connect file:/dev/urandom 1024</pre> </div> </div> @@ -2106,9 +2099,7 @@ par conséquent prendre en considération la possibilité d'une attaque de type déni de service lorsqu'on modifie la valeur de cette directive. </p></div> -<div class="example"><h3>Exemple</h3><pre class="prettyprint lang-config"> -SSLRenegBufferSize 262144 -</pre> +<div class="example"><h3>Exemple</h3><pre class="prettyprint lang-config">SSLRenegBufferSize 262144</pre> </div> </div> @@ -2152,8 +2143,7 @@ quelconque de vérifications quant aux autorisations d'accès.</p> L'<em>expression</em> doit respecter la syntaxe suivante (fournie ici sous la forme d'une notation dans le style de la grammaire BNF) :</p> <blockquote> -<pre> -expr ::= "<strong>true</strong>" | "<strong>false</strong>" +<pre>expr ::= "<strong>true</strong>" | "<strong>false</strong>" | "<strong>!</strong>" expr | expr "<strong>&&</strong>" expr | expr "<strong>||</strong>" expr @@ -2182,8 +2172,7 @@ word ::= digit digit ::= [0-9]+ cstring ::= "..." variable ::= "<strong>%{</strong>" varname "<strong>}</strong>" -function ::= funcname "<strong>(</strong>" funcargs "<strong>)</strong>" -</pre> +function ::= funcname "<strong>(</strong>" funcargs "<strong>)</strong>"</pre> </blockquote> <p>Pour <code>varname</code>, toute variable décrite dans <a href="#envvars">Variables d'environnement</a> pourra être utilisée. Pour <code>funcname</code>, vous trouverez la liste des fonctions @@ -2196,14 +2185,12 @@ puis évaluée lors du traitement de la requête. Dans le contexte des fichiers .htaccess, <em>expression</em> est interprétée et exécutée chaque fois que le fichier .htaccess intervient lors du traitement de la requête.</p> -<div class="example"><h3>Exemple</h3><pre class="prettyprint lang-config"> -SSLRequire ( %{SSL_CIPHER} !~ m/^(EXP|NULL)-/ \ +<div class="example"><h3>Exemple</h3><pre class="prettyprint lang-config">SSLRequire ( %{SSL_CIPHER} !~ m/^(EXP|NULL)-/ \ and %{SSL_CLIENT_S_DN_O} eq "Snake Oil, Ltd." \ and %{SSL_CLIENT_S_DN_OU} in {"Staff", "CA", "Dev"} \ and %{TIME_WDAY} -ge 1 and %{TIME_WDAY} -le 5 \ and %{TIME_HOUR} -ge 8 and %{TIME_HOUR} -le 20 ) \ - or %{REMOTE_ADDR} =~ m/^192\.76\.162\.[0-9]+$/ -</pre> + or %{REMOTE_ADDR} =~ m/^192\.76\.162\.[0-9]+$/</pre> </div> @@ -2216,9 +2203,7 @@ extensions possèdent le même OID, l'une d'entre elles au moins doit correspondre). </p> -<div class="example"><h3>Exemple</h3><pre class="prettyprint lang-config"> -SSLRequire "foobar" in PeerExtList("1.2.3.4.5.6") -</pre> +<div class="example"><h3>Exemple</h3><pre class="prettyprint lang-config">SSLRequire "foobar" in PeerExtList("1.2.3.4.5.6")</pre> </div> <div class="note"><h3>Notes à propos de la fonction PeerExtList</h3> @@ -2271,9 +2256,7 @@ un serveur virtuel où SSL est activé ou dans un répertoire pour se protéger des erreurs de configuration qui pourraient donner accès à des ressources protégées. Lorsque cette directive est présente, toutes les requêtes qui n'utilisent pas SSL sont rejetées.</p> -<div class="example"><h3>Exemple</h3><pre class="prettyprint lang-config"> -SSLRequireSSL -</pre> +<div class="example"><h3>Exemple</h3><pre class="prettyprint lang-config">SSLRequireSSL</pre> </div> </div> @@ -2351,10 +2334,8 @@ supportés :</p> </ul> -<div class="example"><h3>Exemples</h3><pre class="prettyprint lang-config"> -SSLSessionCache dbm:/usr/local/apache/logs/ssl_gcache_data -SSLSessionCache shmcb:/usr/local/apache/logs/ssl_gcache_data(512000) -</pre> +<div class="example"><h3>Exemples</h3><pre class="prettyprint lang-config">SSLSessionCache dbm:/usr/local/apache/logs/ssl_gcache_data +SSLSessionCache shmcb:/usr/local/apache/logs/ssl_gcache_data(512000)</pre> </div> <p>Le mutex <code>ssl-cache</code> permet de sérialiser l'accès au cache @@ -2379,9 +2360,7 @@ informations stockées dans le cache de sessions SSL global et inter-processus et dans le cache OpenSSL interne en mémoire. elle peut être définie à une valeur d'environ 15 à des fins de test, mais à une valeur très supérieure comme 300 en production.</p> -<div class="example"><h3>Exemple</h3><pre class="prettyprint lang-config"> -SSLSessionCacheTimeout 600 -</pre> +<div class="example"><h3>Exemple</h3><pre class="prettyprint lang-config">SSLSessionCacheTimeout 600</pre> </div> </div> @@ -2687,9 +2666,7 @@ Cette option n'est disponible que si httpd a été compilé avec une version d'OpenSSL supportant SNI. </p></div> -<div class="example"><h3>Exemple</h3><pre class="prettyprint lang-config"> -SSLStrictSNIVHostCheck on -</pre> +<div class="example"><h3>Exemple</h3><pre class="prettyprint lang-config">SSLStrictSNIVHostCheck on</pre> </div> </div> @@ -2715,9 +2692,7 @@ La valeur de l'argument <em>nom-var</em> peut correspondre à toute <a href="#env <p>Notez que cette directive est sans effet si l'option <code>FakeBasicAuth</code> est utilisée (voir <a href="#ssloptions">SSLOptions</a>).</p> -<div class="example"><h3>Exemple</h3><pre class="prettyprint lang-config"> -SSLUserName SSL_CLIENT_S_DN_CN -</pre> +<div class="example"><h3>Exemple</h3><pre class="prettyprint lang-config">SSLUserName SSL_CLIENT_S_DN_CN</pre> </div> </div> @@ -2793,9 +2768,7 @@ Les valeurs de <em>niveau</em> disponibles sont les suivantes :</p> et le niveau <strong>optional_no_ca</strong> va vraiment à l'encontre de l'idée que l'on peut se faire de l'authentification (mais peut tout de même être utilisé pour établir des pages de test SSL, etc...)</p> -<div class="example"><h3>Exemple</h3><pre class="prettyprint lang-config"> -SSLVerifyClient require -</pre> +<div class="example"><h3>Exemple</h3><pre class="prettyprint lang-config">SSLVerifyClient require</pre> </div> </div> @@ -2831,9 +2804,7 @@ certificats clients auto-signés sont acceptés ; la profondeur par défaut de 1 signifie que le certificat client peut être soit auto-signé, soit signé par une CA connue directement du serveur (c'est à dire que le certificat de la CA doit être référencé par la directive <code class="directive"><a href="#sslcacertificatepath">SSLCACertificatePath</a></code>), etc...</p> -<div class="example"><h3>Exemple</h3><pre class="prettyprint lang-config"> -SSLVerifyDepth 10 -</pre> +<div class="example"><h3>Exemple</h3><pre class="prettyprint lang-config">SSLVerifyDepth 10</pre> </div> </div> @@ -2859,7 +2830,7 @@ var comments_identifier = 'http://httpd.apache.org/docs/2.4/mod/mod_ssl.html'; } })(window, document); //--><!]]></script></div><div id="footer"> -<p class="apache">Copyright 2013 The Apache Software Foundation.<br />Autorisé sous <a href="http://www.apache.org/licenses/LICENSE-2.0">Apache License, Version 2.0</a>.</p> +<p class="apache">Copyright 2014 The Apache Software Foundation.<br />Autorisé sous <a href="http://www.apache.org/licenses/LICENSE-2.0">Apache License, Version 2.0</a>.</p> <p class="menu"><a href="../mod/">Modules</a> | <a href="../mod/directives.html">Directives</a> | <a href="http://wiki.apache.org/httpd/FAQ">FAQ</a> | <a href="../glossary.html">Glossaire</a> | <a href="../sitemap.html">Plan du site</a></p></div><script type="text/javascript"><!--//--><![CDATA[//><!-- if (typeof(prettyPrint) !== 'undefined') { prettyPrint(); |