Installer un certificat Microsoft IIS5 ou IIS6 (ou Exchange 2003+ pour le service OWA)

Attention : depuis Mars 2020, le protocole TLS1.2 est obligatoire sur les serveurs Web. Microsoft IIS5 et IIS6 ne sont pas compatible avec ce protocole. Plus d'informations : TLS1.2 obligatoire depuis Mars 2020

La procédure ci dessous est valable uniquement si le CSR a été généré via l'interface de IIS. Si vous avez généré la clé privée et le CSR via un autre moyen, il faut suivre cette procédure :

Clé privée et CSR générés via notre outil Keybot : il faut générer un fichier PFX (plus d'informations) qu'il faut ensuite importer sur le serveur. Vous trouverez une documentation sur ce lien : Installer un fichier PFX sur votre IIS 5 ou 6
Clé privée et CSR générés via un outil tiers (OpenSSL par exemple) : il faut generer un PFX a l'aide d'OpenSSL par exemple (plus d'informations). Ensuite reprenez la documentation pour installer un fichier PFX ci-dessus.

Vous avez reçu votre certificat par email. Gardez cet email sous la main.

1- Récupérez le certificat sur votre serveur

Téléchargez le fichier global (.p7b) indiqué dans l'email de livraison sur votre bureau.

Attention: si vous utilisez le certificat au format X509 (.cer) vous devrez ensuite installer les certificats intermédiaires et racine à la main. Il est plus rapide de suivre cette NOUVELLE procédure d'installation.

2- Importez le certificat

Dans le menu démarrer, sélectionnez "Administrative Tool" ou "Outils d'administration".
Démarrer "Internet Services Manager" ou "Gestionnaire de services internet (IIS)"
Ouvrez la fenêtre des propriétés du site web à partir duquel vous avez fabriqué la demande de certificat (souvent le Default Web Site). Vous pouvez le faire en cliquant sur le bouton droit ou en sélectionnant Propriétés dans le menu.
Ouvrez l'onglet "Directory Security" ou "Sécurité de Répertoire".
Cliquez sur "Server Certificate" ou "Certificat serveur". L'assistant apparaît.
Choisissez l'option "Process the Pending Request and Install the Certificate" ou "Traiter la demande en attente et installer le certificat". Puis cliquez sur Suivant.
Mettez le filtre à *.* et choisissez le fichier où se trouve votre certificat téléchargé ci-dessus. Cliquez sur Suivant.
Choisissez le port SSL que le site devrait utiliser (443 par défaut) et cliquez sur Suivant.
Lisez le résumé affiché à l'écran pour vérifier que vous indiquez le bon certificat et cliquez sur Suivant.
Vous obtenez alors une confirmation à l'écran. Après avoir lu l'information, cliquez sur Terminer. C'est fini!

3- Testez

N'oubliez pas d'activer le chiffrement (dans l'onglet Sécurité de répertoire, au niveau de Communications sécurisées, cliquer sur Modifier... et cocher Requérir un canal sécurisé), sinon tout semblera bien installé mais l'accès sans SSL restera possible.

Testez maintenant l'accès à votre site sécurisé avec IE 6 et Firefox.

Sur votre page statut du certificat, dans votre espace client chez TBS CERTIFICATS, Vous y trouverez un bouton "Tester l'installation" pour tester la bonne installation de votre certificat.

Cas du renouvellement

Si vous installez un certificat après un renouvellement, vous avez certainement utilisé un site web temporaire pour ne pas interrompre le fonctionnement du site principal (voir Renouveler un certificat avec Microsoft IIS 5 ou 6 ).
Dans ce cas, commencez par importer le certificat sur le site web temporaire comme indiqué ci-dessus (phase 1 et 2).

Il suffit ensuite d'activer le nouveau certificat sur le site principal. Pour se faire:

Ouvrez la fenêtre des propriétés du site principal. Vous pouvez le faire en cliquant sur le bouton droit ou en sélectionnant Properties dans le menu.
Ouvrez l'onglet "Directory Security" ou "Options de Sécurité et de Répertoire".
Cliquez sur "Server Certificate" ou "Certificat serveur". L'assistant apparaît.
Choisissez l'option "Remplacer le certificat". Puis cliquez sur Next.
Dans la liste défilante, choisissez alors votre nouveau certificat (regardez la date d'expiration). Cliquez sur Next.
Lisez le résumé affiché à l'écran pour vérifier que vous indiquez le bon certificat et cliquez sur Next.
C'est fini! Votre site principal utilise désormais le nouveau certificat.

Imposer du 128-bit

Vous pouvez imposer un niveau de chiffrement à 128-bit même avec un certificat garanti à 40-bit. Pour se faire, dans l'onglet Sécurité de répertoire, au niveau de Communications sécurisées, cliquer sur Modifier... et cocher Canal 128-bit.

LES RECOMMANDATIONS ET CONSEILS DE TBS CERTIFICATS

Pour des raisons de sécurité il est recommandé de :

désactiver SSLv2 et SSLv3. Voir la documentation Microsoft : http://support.microsoft.com/kb/187498
Désactiver RC4 et 3DES
se protéger de BEAST : consulter la documentation
se protéger de la renégociation non sécurisée : http://support.microsoft.com/kb/977377
Activer des ciphers plus sûrs basés sur AES (256bit inclus)

Découvrez aussi IIS Crypto par NARTAC, un outil qui vous permettra de facilement faire vos modifications dans IIS (aussi compatible IIS6)

Cas de figures rencontrés

"SSL Handcheck erreur" ou le SSL ne démarre pas.

Vérifiez que le certificat est correctement installé, avec sa clef privée. Pour cela, utilisez la MMC de votre serveur windows. Il arrive parfois qu'un bug windows, lors de la copie / installation du certificat, ce dernier soit placé dans le "l'espace utilisateur / container user" au lieu de "l'ordinateur local / local computer".
Vous pouvez alors régler ce problème par une exportation locale puis ré-import dans l'ordinateur local.
http://support.microsoft.com/kb/939616/fr

Liens utiles

Installer un certificat après suppression de la demande de certificat en cours

Anonyme [ préférences | connexion ]

Dernière modification le 15/06/2022 15:14:58 --- [Chercher]