Un certificat pour un site uniquement VPN : DNS-01 ou AC privée ?

Trois conditions décident comment un site uniquement accessible par VPN doit obtenir son certificat : si vous contrôlez une zone DNS publique, si le nom d’hôte peut apparaître dans des journaux publics et si chaque client peut recevoir une ancre de confiance privée. La voie publique et la voie privée produisent toutes deux un cadenas fonctionnel et répondent à des questions différentes. En choisir une sans trancher ces conditions, c’est ainsi qu’un site finit avec un certificat public qu’il ne voulait pas, ou avec un certificat interne que la moitié des clients rejettent.

Le certificat prouve le nom ; le VPN et le DNS interne fournissent le chemin.

Deux voies vers un nom de confiance

Un émetteur public avec validation DNS-01 prouve le contrôle d’un nom au moyen d’un enregistrement TXT dans une zone que vous contrôlez, si bien que le service web n’a jamais à accepter une connexion HTTP publique. Une AC privée émet des certificats feuilles pour des noms internes et distribue son ancre de confiance via la gestion des appareils, si bien qu’aucun journal public n’apprend le nom. Les deux sont légitimes, et le choix découle de ces trois conditions et non de la commodité. Aucune des deux voies ne fournit la route ni l’entrée de résolveur dont un client a besoin.

Un certificat public publie aussi le nom d’hôte dans les journaux de transparence des certificats. Si le nom lui-même est sensible, cette divulgation est une décision de conception et non un effet secondaire découvert plus tard.

DNS-01 sans exposer le service

L’enregistrement de défi est une entrée TXT sous un préfixe réservé dans la zone, et l’émetteur la lit depuis le DNS faisant autorité. Choisissez un client ACME et une intégration DNS capables de créer et de supprimer cet enregistrement, et autorisez la mise à jour de façon étroite : un identifiant API limité à la zone, ou un hôte contrôlé utilisé uniquement pour la validation. Donner au serveur applicatif un identifiant d’enregistreur sans restriction pour renouveler un seul certificat représente bien plus d’autorité que la tâche n’en exige. Quand plusieurs commandes partagent un nom, gardez leurs valeurs TXT distinctes pour que le nettoyage de l’une ne retire pas une valeur dont une autre a encore besoin.

Attendez la propagation avec une vérification auprès des serveurs faisant autorité plutôt qu’une attente fixe. Le comportement de propagation dépend du fournisseur, et une attente qui fonctionne aujourd’hui n’est pas une preuve pour demain.

Clients gérés et noms délibérément privés

Les appareils gérés et les noms délibérément privés conviennent bien à une AC interne. Distribuez l’émetteur de confiance via la gestion des appareils, puis émettez des certificats feuilles pour les noms prévus. Vérifiez quel magasin chaque client utilise réellement, car un seul import dans le système d’exploitation n’est pas une affirmation universelle sur tous les navigateurs et applications. L’épinglage de la feuille est une autre option là où elle est explicitement prise en charge, au prix d’une nouvelle mise à jour de confiance à chaque changement de feuille.

Le canal de distribution compte autant que la clé : une racine que personne n’installe ne protège rien.

Le renouvellement fait partie de la conception

Quelle que soit la voie choisie, le renouvellement exige un responsable et une procédure. Actualiser la preuve de validation, installer le nouveau matériel et recharger l’écouteur par son mécanisme pris en charge sont trois étapes distinctes, et seule la première est automatisée par la plupart des clients ACME. Un certificat qui se renouvelle correctement mais n’est jamais chargé produit la même panne qu’un certificat expiré.

Le certificat n’installe pas la route VPN et ne crée pas l’enregistrement DNS interne. Les clients ont encore besoin d’un résolveur qui associe le nom à l’adresse privée et d’une route pour l’atteindre. Testez le site par son nom depuis un client qui dispose des deux.

Notez l’émetteur, la méthode de validation, le canal de distribution de la confiance et le mécanisme de rechargement. Ces quatre éléments constituent le plan de renouvellement.