11. ACME et renouvellement exploitable

Comprendre le mécanisme

ACME automatise des échanges entre client et autorité pour l’émission de certificats selon des validations de contrôle. Prouver le contrôle d’un domaine ne prouve pas que toute activité commerciale derrière lui est légitime. Un certificat public n’est donc pas une certification professionnelle ni un audit de code. Le client ACME, ses credentials et les mécanismes de challenge font partie du périmètre d’exploitation.

Raisonner et vérifier

Planifiez renouvellement, propagation, rechargement du service et vérification externe du certificat effectivement servi. Un fichier renouvelé sur disque peut ne pas être chargé par le processus exposé. Les credentials DNS doivent être restreints à leur usage lorsque c’est possible. Testez les échecs avec un environnement de test prévu par le fournisseur et une procédure de reprise, sans épuiser les quotas de production.

Cycle automatisé

ACME automatise un cycle d’émission de certificats. Le protocole de certificat a un autre périmètre. ACME orchestre demande, contrôle et émission selon un protocole. L’automatisation réduit les opérations manuelles mais doit encore gérer stockage des clés, installation et erreurs des dépendances utilisées pour le challenge.

Portée du domaine

Un contrôle de domaine ne prouve pas la légitimité commerciale. Le type de preuve est plus limité. Un contrôle de domaine établit une capacité sur ce domaine dans le périmètre de l’émission. Il ne certifie pas le code de paiement, la qualité du service ou l’absence de fraude commerciale.

Chargement effectif

Le certificat installé doit être réellement chargé. Le processus peut continuer à utiliser l’ancien état. Après émission, le processus doit charger le nouveau certificat. Vérifiez le résultat du rechargement et les différents nœuds ; un fichier neuf sur disque ne modifie pas magiquement toutes les connexions servies.

Observation externe

Une vérification externe observe le service exposé. Les instances peuvent présenter des certificats différents. Comparez numéro de série et échéance vus depuis un client avec les valeurs attendues. Cette mesure détecte aussi un ancien certificat présenté par un proxy situé avant le service que vous venez de modifier.

Droits DNS

Les credentials DNS doivent être limités. Le périmètre de capacité doit être minimal. Un token DNS peut permettre des changements étendus dans la zone. Restreignez ses permissions au besoin de renouvellement lorsque possible et séparez les environnements pour limiter les conséquences d’une fuite.

Surveillance

Les renouvellements doivent être surveillés. Réseau, permissions et rechargement peuvent tomber en panne. Alertez sur échec de renouvellement et sur échéance du service réellement exposé. Une tâche cron réussie ne prouve pas que tous les certificats nécessaires ont été renouvelés et déployés.

Environnement de test

Un environnement de test évite des essais risqués sur les quotas réels. Le laboratoire doit limiter les impacts. Utilisez le staging de l’autorité pour les répétitions de configuration. Il permet de tester le cycle sans épuiser les quotas réels ; sa confiance doit rester distincte de celle du service public.

Reprise opérable

La procédure de reprise doit avoir un propriétaire. L’exploitation demande une capacité d’intervention. Assignez un responsable et documentez les accès nécessaires, la réparation et les contrôles de validation après incident. Une alerte sans personne capable d’agir peut laisser expirer un certificat pourtant surveillé correctement.

Challenge maîtrisé

Le challenge doit rester dans un périmètre maîtrisé. Le contrôle de domaine doit suivre les règles de validation. Vérifiez quel composant sert le challenge et quels chemins ou zones il peut modifier. La délégation nécessaire à l’émission ne doit pas devenir une capacité générale d’écriture dans l’application.

Certifications distinctes

Un certificat technique n’est pas un diplôme professionnel. Les deux notions de certification ont des objets différents. Un certificat TLS est un objet technique de confiance de canal. Une certification professionnelle évalue des compétences selon un programme et des règles propres ; aucun des deux ne remplace l’autre.

Atelier guidé : lire, expliquer et vérifier le code

fichier_installe:
  serial: new-42
service_observe_depuis_client:
  serial: old-11
rechargement:
  status: failed

Le fichier annonce new-42 alors que le client observe old-11 et que le rechargement a échoué. Le renouvellement n’est donc pas terminé du point de vue du service. Réparez le chargement puis contrôlez de nouveau depuis l’extérieur, y compris les autres nœuds exposés.

Ce contrôle ne porte pas sur le certificat actif. Un statut applicatif ne montre pas le numéro de certificat. Le service continue de présenter l’ancienne version malgré le fichier neuf. Le disque ne prouve pas le chargement du processus.

Travail pratique : Simulez un renouvellement local dont le rechargement échoue et écrivez une alerte distinguant disque et service.

Critères de correction : Mesurez le certificat réellement servi et sa date. Déclenchez l’alerte puis restaurez le rechargement ; documentez propriétaire, délai d’intervention et traitement des credentials de challenge.