Protocole ACME : serveur ACME, challenges http-01 et dns-01, automatisation TLS

1. Qu'est-ce que le protocole ACME ? #

Le protocole ACME (RFC 8555) est un standard permettant d'automatiser les interactions entre une autorité de certification (CA) et les serveurs web.

Origine et Fonctionnement #

Développé par l'ISRG (Internet Security Research Group) pour le lancement de Let's Encrypt, ACME permet à un serveur de prouver qu'il contrôle un domaine afin d'obtenir un certificat sans intervention humaine. Cette preuve repose sur des 'défis' (challenges) :

HTTP-01 : Placer un fichier spécifique sur le serveur web.
DNS-01 : Créer un enregistrement TXT spécifique dans la zone DNS.
TLS-ALPN-01 : Présenter un certificat spécial sur le port 443 (négociation ALPN), quand le port 80 n'est pas accessible.

Les avantages majeurs #

Gratuité : La plupart des autorités ACME (Let's Encrypt, ZeroSSL) offrent des certificats gratuits.
Sécurité : Les certificats expirent tous les 90 jours, limitant l'impact en cas de compromission.
Fiabilité : L'automatisation élimine le risque d'oubli de renouvellement (première cause d'indisponibilité HTTPS).

2. Automatisation avec Traefik #

Traefik est le champion de l'ACME grâce à son support natif sans outil tiers.

Configuration (traefik.yml) #

Traefik gère lui-même le stockage et le renouvellement via des CertificatesResolvers :

certificatesResolvers:
  myresolver:
    acme:
      email: admin@votre-domaine.fr
      storage: acme.json
      httpChallenge:
        entryPoint: web # Port 80 obligatoire pour le défi HTTP-01
      # tlsChallenge: {}     # défi TLS-ALPN-01 sur le port 443, sans port 80
      # dnsChallenge: { provider: ovh }   # défi DNS-01 (wildcards)

Ensuite, sur vos conteneurs, il suffit d'ajouter un label :
traefik.http.routers.monapp.tls.certresolver=myresolver

3. Automatisation avec HAProxy #

HAProxy 3.2 et plus intègre un client ACME natif ; les versions antérieures s'appuient sur un client externe (Certbot ou acme.sh).

Intégration avec Certbot #

Depuis la version 3.2, HAProxy intègre un client ACME natif (section acme associée aux certificats, renouvellement automatique), d'abord proposé comme fonctionnalité expérimentale et limité au défi HTTP-01. Un client externe (Certbot, acme.sh) reste l'option la plus éprouvée pour les versions antérieures, le défi DNS-01 ou les besoins avancés : consultez la documentation de votre version d'HAProxy.

La méthode recommandée consiste à dédier un backend au challenge ACME pour ne pas couper le trafic :

frontend http-in
    bind *:80
    acl is_acme path_beg /.well-known/acme-challenge/
    use_backend acme_backend if is_acme

backend acme_backend
    server certbot 127.0.0.1:8888

Le renouvellement se fait via un script qui concatène le certificat et la clé privée dans un fichier .pem, format attendu par HAProxy.

4. Automatisation avec Nginx #

Nginx utilise massivement Certbot via un plugin dédié qui automatise la lecture et l'écriture de la configuration.

Commande de mise en place #

Sur la plupart des systèmes Linux, une seule commande suffit pour transformer un site HTTP en HTTPS :

sudo certbot --nginx -d mon-domaine.fr

Certbot va alors :

Modifier votre nginx.conf pour ajouter les blocs SSL.
Gérer le challenge HTTP-01.
Installer un minuteur systemd (ou une tâche cron) qui lance certbot renew deux fois par jour : le certificat n'est renouvelé que lorsqu'il lui reste moins de 30 jours de validité.

Conclusion #

Quel outil choisir ? #

Si vous travaillez dans un environnement cloud/conteneurs, Traefik offre l'expérience la plus fluide. Pour des infrastructures traditionnelles plus statiques, le couple Nginx + Certbot reste la référence mondiale par sa simplicité.

Serveurs et challenges ACME #

Comment l'autorité vérifie le domaine.

Challenges #

Challenge	Preuve	Quand
http-01	Un fichier servi sur `http://domaine/.well-known/acme-challenge/<jeton>`	Serveur joignable en HTTP sur le port 80
dns-01	Un enregistrement TXT `_acme-challenge.domaine`	Certificats wildcard, serveurs internes
tls-alpn-01	Un certificat spécial présenté sur le port 443	Port 80 fermé

Le serveur ACME est l'autorité qui délivre les certificats : Let's Encrypt et ZeroSSL publiquement, step-ca (Smallstep) ou une PKI d'entreprise compatible ACME en interne.

Erreur Courante : Une redirection HTTP vers HTTPS appliquée aussi à /.well-known/acme-challenge/ fait échouer le challenge http-01 si le certificat HTTPS est déjà expiré : excluez ce chemin de la redirection.