Le SSL personnalisé via répartiteur partagé (SLB) est l’option pour terminer votre propre certificat TLS quand l’environnement n’a pas d’IP publique attachée. Au lieu d’installer le certificat sur le nœud d’entrée, la plateforme le stocke de façon centrale et le synchronise sur la grappe SLB. La sélection du certificat à l’arrivée d’une requête se fait via SNI.
Utile sur les substrats cloud où les IP publiques supplémentaires sont indisponibles ou coûteuses, et pour les environnements qui ne doivent pas être directement adressables.
Comment ça fonctionne
- Vous téléversez par API une clé privée, un certificat de domaine et, en option, un certificat intermédiaire. Le trio est stocké en base de données de la plateforme.
- La plateforme synchronise le certificat sur tous les nœuds SLB de la région.
- À l’arrivée d’une requête, le SLB choisit le bon certificat via Server Name Indication (SNI) — le client annonce le nom d’hôte demandé et le SLB sert le certificat correspondant, même si de nombreux noms d’hôtes terminent sur la même IP.
Le SLB transmet ensuite la requête déchiffrée à votre environnement par le réseau interne de la plateforme. Du point de vue de l’application, le trafic arrive en HTTP non chiffré depuis le SLB.
Surface API
Toutes les opérations sont exposées par API. L’interface dans le tableau de bord est sur la feuille de route.
| Méthode | Rôle |
|---|---|
GetSSLCerts(session, [ids]) | Liste tous les certificats de l’utilisateur courant, ou seulement ceux dont les ids sont fournis. |
AddSSLCert(session, key, cert, [interm]) | Téléverse une clé privée, un certificat de domaine et, en option, un intermédiaire. Les valeurs peuvent être inline ou via URL. |
EditSSLCert(session, id, [key], [cert], [interm]) | Met à jour un certificat existant. Pour supprimer l’intermédiaire, passer *, null ou none. |
RemoveSSLCerts(session, ids) | Supprime des certificats. * sélectionne tout. Les certificats liés doivent être détachés d’abord. |
BindSSLCert(session, envName, certId, [entryPoint], [extDomains]) | Lie un certificat à un environnement. Si entryPoint vaut SLB, le lie sur le SLB pour les domaines externes listés. |
UnbindSSLCert(session, envName, [extDomains]) | Détache un certificat de l’environnement, ou des domaines personnalisés listés sur le SLB. |
BindExtDomains(session, envName, extDomains, [certId]) | Lie des noms de domaine personnalisés à l’environnement ; si certId est fourni, installe le certificat correspondant sur le SLB. |
GetExtDomains(session, envName) | Liste les domaines personnalisés attachés à l’environnement. |
La référence complète est dans la documentation API de la plateforme.
Flux typique
AddSSLCert— téléverser le trio. Vous récupérez un id de certificat.BindExtDomains— lier vos domaines personnalisés à l’environnement en passant l’id du certificat pour que le SLB l’installe sur ces domaines.
Pour faire tourner un certificat, appelez EditSSLCert avec la nouvelle clé et le nouveau certificat — la grappe SLB prend la mise à jour sans interruption.
Quotas
Le nombre maximum de certificats SSL personnalisés attachés via SLB est plafonné par compte par le quota slb.customssl.maxcount. La valeur par défaut est de 50 pour les comptes facturés et de 5 pour les comptes d’essai. Plafond ajustable sur demande.
Quand l’utiliser plutôt que Custom SSL
| Besoin | À utiliser |
|---|---|
| IP publique sur le nœud d’entrée, terminer localement | SSL personnalisé |
| Pas d’IP publique, mais besoin de votre propre certificat sur un domaine personnalisé | SSL personnalisé via SLB |
| Plusieurs environnements partageant un certificat générique | SSL personnalisé via SLB |