Aller au contenu

TLS et domaines Mis à jour le 2026-05-27

SSL personnalisé

Téléversez votre propre clé privée, certificat de domaine et chaîne intermédiaire pour terminer TLS sur un domaine personnalisé du Stack Harbor PaaS. Inclut les recettes OpenSSL pour générer la clé et le CSR.

Le SSL personnalisé permet d’apporter votre propre certificat à la plateforme. Vous téléversez trois éléments — une clé privée de serveur, un certificat de domaine et un certificat intermédiaire (la chaîne AC) — et la plateforme les installe sur le nœud d’entrée de votre environnement.

C’est la bonne option si vous disposez déjà d’un certificat émis par une AC, si vous avez besoin d’un type précis (validation étendue, multi-domaines, générique) ou si une exigence de conformité impose une autorité de certification particulière.

Ce qu’il vous faut d’abord

Pour attacher un certificat personnalisé à un environnement, préparez :

  • un nom de domaine personnalisé que vous possédez,
  • une clé privée de serveur,
  • un certificat de domaine (émis par votre AC),
  • le certificat intermédiaire ou la chaîne de votre AC,
  • une IP publique attachée au nœud d’entrée (répartiteur pour .NET, Go, Node.js ou Docker personnalisé ; serveur applicatif sinon).

Le SSL personnalisé supporte les certificats auto-signés, génériques, multi-domaines, single-domain, validation étendue single, validation étendue multi, et low-assurance / validés par domaine.

Générer la clé et le CSR avec OpenSSL

Les deux étapes ci-dessous produisent les fichiers à transmettre à votre AC. Elles s’exécutent de la même façon sur Linux, macOS et la version OpenSSL pour Windows.

Génération d’une clé privée RSA (4096 bits recommandé, ne pas la protéger par phrase de passe — le tableau de bord rejette les clés protégées) :

openssl genrsa -out server.key 4096

Génération du CSR (Certificate Signing Request) à partir de la clé :

openssl req -new -key server.key -out server.csr

OpenSSL demande les champs du sujet. La valeur Common Name doit correspondre exactement à votre domaine — pour un certificat générique, utilisez *.exemple.com. Si le CN ne correspond pas au domaine, le certificat ne sera pas validé.

Envoyez server.csr à votre AC. L’AC vous retourne le certificat de domaine et le certificat intermédiaire (ou la chaîne).

Configurer la topologie de l’environnement

Avant de téléverser le certificat, l’environnement doit satisfaire les prérequis Custom SSL : un domaine personnalisé lié et une IP publique sur le nœud d’entrée. Pour les piles où le serveur applicatif n’est pas le nœud d’entrée (.NET, Go, Node.js, Docker personnalisé), c’est le répartiteur qui l’est et l’IP publique doit y être attachée.

  1. Ouvrez le tableau de bord et cliquez sur Change Environment Topology (ou créez un nouvel environnement).
  2. Dans le dialogue de topologie, cliquez sur l’interrupteur SSL au-dessus des blocs serveur.
  3. La plateforme affiche une liste de prérequis Custom SSL. Les éléments rouges peuvent être corrigés en un clic via le bouton Enable correspondant.
  4. Une fois tous les prérequis verts, la section SSL accepte vos fichiers de certificat.

Téléverser le certificat

Collez — ou téléversez — les trois éléments :

  • Server Key — le contenu de server.key,
  • Intermediate Certificate — la chaîne retournée par votre AC,
  • Domain Certificate — le certificat émis pour votre domaine.

Enregistrez et appliquez. La plateforme les installe sur le nœud d’entrée et recharge la configuration TLS.

Notes

  • Le SSL personnalisé sur une pile Node.js, Go ou .NET termine toujours sur le répartiteur en façade de l’application — pas sur le serveur applicatif lui-même.
  • Les certificats génériques couvrent un niveau de sous-domaine (*.exemple.com couvre app.exemple.com mais pas app.beta.exemple.com). Pour une couverture multi-niveau, utilisez un certificat multi-domaines avec des SAN explicites.
  • Si vous ne pouvez pas — ou ne voulez pas — attacher une IP publique, voyez SSL personnalisé via SLB : il termine les mêmes certificats sur le répartiteur partagé via SNI.

Voir aussi