Créer un certificat SSL wildcard avec Gandi
Un certificat SSL wildcard sécurise plusieurs sous-domaines avec une seule installation. Associé à un domaine géré chez Gandi, il peut protéger www, app, blog ou encore api, tout en affichant le cadenas HTTPS dans les navigateurs. Cette solution convient aux sites qui évoluent régulièrement et aux applications réparties sur plusieurs adresses.
La mise en place repose sur trois éléments : un nom de domaine actif, une validation de propriété et une installation correcte du certificat sur le serveur. Gandi propose l’enregistrement de nombreuses extensions, la gestion DNS, la messagerie, la redirection et des options SSL qui simplifient cette administration.
Comprendre le certificat wildcard
Un certificat wildcard s’écrit généralement sous la forme *.exemple.fr. Il couvre les sous-domaines situés au premier niveau, comme www.exemple.fr, boutique.exemple.fr ou api.exemple.fr. Il ne protège pas automatiquement le domaine principal exemple.fr, qui doit être ajouté séparément lors de la commande ou dans les noms couverts par le certificat.
Cette distinction est importante pour éviter une configuration incomplète. Un certificat prévu pour *.exemple.fr ne sécurise pas non plus v2.api.exemple.fr. Pour une architecture avec plusieurs niveaux, il faut prévoir des certificats complémentaires ou une stratégie distincte.
Préparer le domaine chez Gandi
Avant de lancer la demande, vérifiez que le domaine est bien enregistré, actif et administré depuis votre compte Gandi. Le panneau de gestion permet de créer les enregistrements DNS nécessaires, notamment les entrées A, AAAA, CNAME et TXT. Une adresse mal saisie ou une zone DNS hébergée ailleurs peut empêcher la validation.
Si les serveurs de noms ne sont pas encore configurés, consultez ce guide pour modifier les DNS. La propagation peut prendre quelques minutes ou plusieurs heures selon les résolveurs. Il est donc préférable de préparer la zone avant de lancer la génération du certificat.
Contrôlez également que chaque sous-domaine pointe vers le bon serveur. Le certificat chiffre les échanges, mais il ne corrige pas une mauvaise résolution DNS, une redirection incorrecte ou une application inaccessible.
Choisir la méthode de validation
La validation DNS-01 est généralement la plus adaptée à un certificat wildcard. L’autorité de certification demande alors de publier un enregistrement TXT sous _acme-challenge.exemple.fr. Une fois cette preuve détectée, elle confirme que vous contrôlez le domaine et autorise l’émission du certificat.
La validation HTTP-01 est courante pour les certificats classiques, mais elle ne permet pas toujours de valider un wildcard. Elle exige qu’un fichier temporaire soit accessible sur le site en HTTP. La validation DNS reste plus souple pour les serveurs privés, les environnements de préproduction et les applications qui ne possèdent pas encore de site public.
Avec un outil comme Certbot, la procédure peut être automatisée depuis le terminal. Une commande DNS manuelle demande toutefois de copier le jeton TXT dans la zone Gandi, d’attendre sa publication, puis de poursuivre la validation. Les utilisateurs qui préfèrent une interface graphique peuvent passer par le service de certificats proposé dans leur espace d’administration.
Générer et commander le certificat
Commencez par sélectionner un certificat couvrant le domaine principal et le wildcard correspondant. Vérifiez attentivement les noms inclus : exemple.fr et *.exemple.fr sont deux entrées différentes. Selon le fournisseur et la formule retenue, la demande peut inclure un certificat DV, OV ou une option adaptée à une organisation.
La clé privée doit être générée et conservée avec soin. Elle ne doit jamais être envoyée par courrier électronique ni déposée dans un dépôt public. Pour une création locale, OpenSSL ou Certbot peut produire une clé RSA ou une clé elliptique, puis une demande de signature de certificat, appelée CSR.
| Méthode | Validation | Usage recommandé | Automatisation |
|---|---|---|---|
| DNS-01 manuelle | Enregistrement TXT | Wildcard et serveurs privés | Limitée |
| DNS-01 automatisée | API DNS ou module | Renouvellements fréquents | Élevée |
| HTTP-01 | Fichier temporaire sur le site | Domaine web classique | Bonne |
| Import d’un certificat Gandi | Validation du fournisseur | Gestion centralisée | Variable |
Après émission, téléchargez le certificat, la chaîne intermédiaire et la clé privée dans les formats demandés par votre serveur. Certains hébergeurs attendent un fichier PEM, tandis que d’autres réclament un fichier combiné au format PKCS#12.
Installer le certificat sur votre hébergement
Sur un serveur Apache ou Nginx, indiquez le chemin du certificat, de la chaîne intermédiaire et de la clé privée dans la configuration du site. Rechargez ensuite le service et contrôlez la syntaxe avant toute mise en production. Une clé qui ne correspond pas au certificat provoquera une erreur TLS immédiate.
Pour un hébergement administré, l’import s’effectue souvent depuis le panneau de contrôle. Les solutions cloud comme hébergement cloud peuvent être pertinentes pour déployer une application sans gérer chaque composant système, à condition de vérifier la procédure d’ajout du certificat wildcard et la gestion des secrets.
Après l’installation, testez le domaine principal et plusieurs sous-domaines. Vérifiez la chaîne de certification, la date d’expiration, la redirection HTTP vers HTTPS et la présence éventuelle de contenu mixte. Une page qui charge des images ou des scripts en HTTP peut encore être signalée comme non sécurisée.
Renouveler sans interruption
Un certificat public possède une durée de validité limitée. Le renouvellement doit donc être prévu avant l’expiration, surtout lorsque plusieurs services dépendent du même wildcard. Avec Certbot ou une API DNS, un cron ou un minuteur système peut lancer automatiquement la demande et publier le nouveau jeton.
L’accès à l’API DNS doit être restreint au strict nécessaire. Créez, si possible, un jeton limité à la zone concernée et stockez-le dans un coffre de secrets. Évitez de placer des identifiants dans un script lisible par tous les utilisateurs du serveur.
Après chaque renouvellement, programmez un rechargement gracieux du serveur web. Un contrôle externe peut vérifier régulièrement la date d’expiration et envoyer une alerte plusieurs jours à l’avance. Cette surveillance est particulièrement utile pour les boutiques, espaces clients et API qui doivent rester disponibles en permanence.
Éviter les erreurs courantes
La première erreur consiste à oublier le domaine racine lors de la commande. La deuxième est de créer le TXT dans une zone DNS qui n’est pas réellement utilisée. Utilisez les outils de diagnostic DNS pour confirmer les serveurs faisant autorité et la visibilité de _acme-challenge.
Ne partagez jamais la clé privée et ne la réutilisez pas sur des machines non maîtrisées. Si un serveur est compromis, révoquez le certificat, générez une nouvelle clé et examinez les journaux d’accès. Pour une installation selon votre logiciel serveur, les guides par fabricant peuvent compléter la documentation Gandi.
Enfin, gardez une copie sécurisée de la configuration et documentez les sous-domaines couverts. Un wildcard réduit le nombre de certificats à gérer, mais il augmente l’impact d’une fuite de clé : une seule clé compromise peut exposer plusieurs services.
Pour lancer votre projet, choisissez un domaine disponible chez Gandi, configurez sa zone DNS et sélectionnez une solution d’hébergement compatible avec vos besoins. Une gestion centralisée du domaine, du certificat, de la messagerie et de l’hébergement vous aidera à déployer rapidement des sous-domaines sécurisés et faciles à administrer.
