Découvrez comment utiliser un certificat Origin CA de Cloudflare pour chiffrer le trafic entre Cloudflare et votre serveur Web d’origine. Apprenez à gérer les certificats Origin CA via Cloudflare et bénéficiez de conseils pour l’installation des certificats Origin CA sur votre serveur Web d’origine.

Présentation

Utilisez les certificats Origin CA de Cloudflare pour chiffrer le trafic entre Cloudflare et votre serveur Web d’origine. Pour plus de confort, de sécurité et de performances, Cloudflare recommande un certificat Origin CA par rapport à un certificat auto-signé ou un certificat acheté auprès d’une autorité de certification (Certificate Authority). Avec un certificat Origin CA, vous pouvez utiliser les modes SSL Full et Full (strict) dans l’application SSL/TLS de Cloudflare sans acheter au préalable un certificat d’une autorité de certification à installer sur votre serveur Web d’origine.

Le déploiement des certificats Origin CA nécessite généralement trois étapes :

1. Créer un certificat Origin CA
2. Installer un certificat Origin CA sur votre serveur Web d’origine
3. Configurer le mode SSL dans l’application SSL/TLS de Cloudflare

Étape 1 : créer un certificat Origin CA

Vous pouvez générer votre propre certificat Origin CA dans le tableau de bord Cloudflare :

1. Connectez-vous à Cloudflare.
   
   
2. Sélectionnez le compte concerné pour le domaine nécessitant un certificat Origin CA.
   
   
3. Sélectionnez le domaine.
   
   
4. Cliquez sur l'applicationSSL/TLS.
   
   
5. Faites défiler jusqu’à Certificats Origin.
   
   
6. Cliquez sur Créer un certificat pour ouvrir la fenêtre Installation du certificat Origin.
   
   
7. Dans la fenêtre Installation du certificat Origin, choisissez l’une des options suivantes :
   
   • Laisser Cloudflare générer une clé privée et une CSR ; spécifier si le type de clé privée est RSA ou ECDSA.
   • J’ai ma propre clé privée et CSR ; coller la Certificate Signing Request dans le champ de texte.
     
     

8. Répertoriez les noms d’hôte (y compris les jokers) que le certificat doit protéger avec le chiffrement SSL. La racine de la zone et le nom d’hôte joker de premier niveau sont inclus par défaut.

9. Choisissez l’expiration du certificat. La durée par défaut est 15 ans et la durée minimale est de 7 jours.
   
   

10. Cliquez sur Suivant.
    
    
11. Sélectionnez le format de clé. Sélectionnez le format de paire de clés qui correspond le mieux à votre environnement. La plupart des serveurs Web basés sur OpenSSL tels que NGINX et Apache attendent des fichiers PEM (ASCII codé en Base64), mais fonctionnent également avec des fichiers DER binaires. Les utilisateurs Windows et Apache Tomcat doivent opter pour PKCS# 7.
    
    
12. Copiez les informations du certificat Origin et de la clé privée signés dans des fichiers séparés, comme indiqué par la fenêtre d’installation du certificat Origin.

13. Cliquez sur OK.

Étape 2 : installer un certificat Origin CA sur votre serveur Web d’origine.

L’ajout d’un certificat Origin CA à un serveur Web d’origine nécessite plusieurs étapes générales :

1. Téléchargez le certificat Origin CA (créé ci-dessus à l’étape 1) sur votre serveur Web d’origine.
   
   
2. Utilisez les guides d’installation liés ci-dessous pour mettre à jour la configuration de votre serveur Web afin qu’elle pointe vers le certificat.
   
   
3. Téléchargez le certificat racine CA de Cloudflare sur votre serveur Web d’origine (facultatif pour la plupart des serveurs Web d’origine).

4. Activez SSL et le port 443 sur votre serveur Web d’origine.
   
   
5. Assurez-vous que le pare-feu de votre serveur d’origine ne bloque pas les connexions au port 443.

Consultez la liste des liens ci-dessous pour obtenir des instructions d’installation spécifiques à votre serveur Web d’origine. Pour obtenir de l’aide pour installer un certificat Origin CA, contactez votre fournisseur d’hébergement, votre administrateur Web ou votre fournisseur de serveur Web.

• Apache httpd
• Hébergement GoDaddy (avec cPanel)
• Microsoft IIS 7
• Microsoft IIS 8 et 8.5
• Microsoft IIS 10
• NGINX
• Tomcat

Étape 3 : configurer le mode SSL dans l’application SSL/TLS de Cloudflare

Demandez à Cloudflare de chiffrer le trafic sur votre serveur Web d’origine après y avoir installé le certificat Origin CA de Cloudflare. Définissez le mode SSL dans l’application SSL/TLS de Cloudflare sur Full ou Full (strict) pour activer le chiffrement entre Cloudflare et votre serveur Web d’origine.

Étape 4 (facultative) : ajouter des certificats racines Origin CA Cloudflare

Certains serveurs Web d’origine nécessitent le téléchargement du certificat racine Origin CA de Cloudflare. Voir ci-dessous une obtenir une version RSA et ECC du certificat racine Origin CA de Cloudflare. Cliquez sur le lien pour télécharger le fichier :

• cloudflare_origin_ecc.pem
• cloudflare_origin_rsa.pem

Vous pouvez également développer le contenu du certificat racine à copier et coller dans la configuration de votre serveur Web d’origine :

Supprimer un certificat Origin CA

Suivez ces étapes pour révoquer un certificat CA d’origine :

1. Connectez-vous à Cloudflare.
   
   

2. Sélectionnez le compte concerné pour le domaine nécessitant la révocation du certificat Origin CA.
   
   

3. Sélectionnez le domaine.
   
   

4. Cliquez sur l’application SSL/TLS et faites défiler jusqu’à Certificats Origin.

5. Cliquez sur l’icône X à droite du nom du certificat dans la liste des certificats Origin CA.
   
   

6. La fenêtre de confirmation de révocation du certificat Origin va s’afficher.
   
   

7. Cochez la case de confirmation et cliquez sur Révoquer.

Ressources associées

• Comprendre le SSL de Cloudflare : aperçu
• Blog Cloudflare : présentation des certificats Origin CA de Cloudflare