Quel certificat SSL ?

[RobertG]

Bonjour à tous,

Google nous poussant à passer en https, je me pose la question de quel type de certificat SSL acquérir et installer, d'abord sur un site comme le mien (robertg-conseil.fr) où il n'y a que de l'info et pas d'inscriptions, ou encore sur des sites Virtuemart où seules les infos des clients sont stockées (nom, adresse électronique et de facturation/livraison, sans aucune info CB ou autre), le paiement se faisant via PayPal et par autres solutions externes.

Les offres sont tellement variées qu'il est difficile de s'y retrouver.
Par exemple, chez trustico.fr, on part d'une formule RapidSSL à 25 €/an à d'autres extrêmement élevées, en passant par une QuickSSL Premium à 89 €/an qui inclut les téléphones portables : une formule simple ne sécuriserait-elle donc pas les connexion sur smartphone ?
Je suis perdu !

Quelqu'un ayant une expérience de la question pourrait-il témoigner et me donner des conseils, ainsi qu'à la communauté ?

Merci d'avance,
Robert

[daneel]

Re : Quel certificat SSL ?

Salut,

Bon, je vais essayer de résumer (pas facile) :

Un certificat permet d'activer le protocole ssl dans les navigateurs. Donc compatible mobile, cela veut dire simplement que c'est compatible avec les navigateurs les plus connus sur smartphone.

Si c'est pour avoir du https pour que les pages soient crytés sans payer un centime, tu peux utiliser Cloudflare. Il permet à la fois d'obtenir un CDN pour soulager ton serveur, d'apporter une sécurité supplémentaire et de l'optimisation de page et le fameux certificat SSL. L'opération consiste à s'inscrire en quelques minutes sur leur site, de changer les dns du nom de domaine par ceux de cloudflare puis d'activer le ssl en mode flexible : https://www.cloudflare.com/ssl
Résultat : Vous n'avez pas besoin de CSR à générer et les visiteurs ont bien le https avec le symbole du cadenas.

En gratuit, il y a aussi starssl : https://cert.startcom.org/?lang=fr
Un des grands avantages de la gratuité, c'est de pouvoir apprendre la méthode et l'usage avant d'acquérir un certificat disposant d'un niveau de confiance plus élevé. Perso, je conseille de tester starcom avec un nom de domaine qui ne vous sert pas souvent, il faut bien commencer un jour. Sincèrement, cela permet au moins de comprendre beaucoup de choses

Il y a aussi gandi qui offre le SSL à ses clients la 1ère année.

Autrement, au niveau commercial le prix varie en fonction de plusieurs critères : assurance, personnalisation, wilcard (ssl pour les sous-domaines autre que le principal) et autres... Mais aussi à plusieurs degrés de vérification :
DV : validation du nom de domaine (cryptage ssl)
OV : organisation (+validation comme propriétaire du site)
EV : validation etendue (+indication dans la barre d'adresse)

Pour les offres commerciales, je ne donne pas ici d'indication de prix ou de choix perso (le forum n'est pas le l'endroit), il suffit de se tourner vers les sites de comparaison pour se faire une idée.

Pour ton cas, je testerai sans trop de risque avec Cloudflare et je resterai sur cette solution si cela te satisfait.
Avec StarSSL, c'est un peu plus difficile et si tu veux changer par la suite, c'est un peu galère. Si tu te tourne sur les offres commerciales des autorités de certification, je me contenterai au mieux d'une simple validation de domaine (DV).

[RobertG]

Re : Quel certificat SSL ?

Merci Yann de ces conseils précis !

C'est d'ailleurs plus pour mes clients que pour moi, que ça m'intéresse, clients hébergés dans la majorité des cas sur des serveurs mutualisés.
Pour l'instant, je n'ai pas trouvé de comparateur, peut-être ai-je mal cherché ?
Ce que j'ai trouvé, c'est comme sur le site de ChristopheW un système de questionnaire permettant d'obtenir une proposition unique ou multiple.

Mon hébergement mutualisé permet l'ajout d'un certificat nom de domaine par nom de domaine, certificat qui commence par BEGIN CERTIFICATE et finit par END CERTIFICATE. Je n'ai rien vu de ce genre sur StartSSL, et pour l'instant, je n'ai pas bien compris le fonctionnement de Cloudflare.
Bref, je ne suis pas sûr que ces offres gratuites soient la réponse à mon éventuel besoin, mais ils intéresseront sûrement d'autres visiteurs de cette discussion.

PS : permettez-moi de regretter amèrement la suppression de la réponse de ChristopheW qui, bien qu'à caractère commercial, répondait clairement à des questions précises.
Je résume : RapidSSL n'est pas reconnu par les smartphones et tablettes, et pour les cas soumis, il semblerait que Thawte SSL 123 soit le plus adapté à ce type de site, en concurrence avec QuickSSL Premium, plus onéreux.

[ChristopheW]

Re : Quel certificat SSL ?

Robert,

Aucun problème pour le fait que ma réponse ai été supprimée, l'important étant que celle-ci ai répondu à vos interrogations...

Lorsque votre certificat SSL sera émis, vous devrez ouvrir celui-ci avec un éditeur de texte, et copier/coller le contenu (qui commencera par BEGIN CERTIFICATE et se terminera par END CERTIFICATE) dans le champ prévu à cet effet (sur l'espace client de votre hébergeur).

Par contre, pour l'émission du certificat, vous devrez générer un certificat CSR.
Avez-vous trouvé la page permettant la génération de ce CSR sur votre espace client ?

Bonne journée.

Christophe

[RobertG]

Re : Quel certificat SSL ?

Merci de ces précisions Christophe, mais pour l'instant, je n'en suis qu'au stade de prospection.

[ghazal]

Re : Quel certificat SSL ?

Salut,
est-ce que qqn a déjà utilisé le certificat SSL proposé par 1&1 ?
Et ce qqn a-t-il un avis ?

[daneel]

Re : Quel certificat SSL ?

pour l'instant, je n'ai pas bien compris le fonctionnement de Cloudflare.

Je vais tenter d'expliquer le principe dans Cloudflare. A l'origine c'est un CDN, donc des serveurs qui sont entre celui qui héberge ton site et le visiteur. Sur 23 serveurs, ils stockent et répliquent les pages de ton site (fichier css compris), ainsi le visiteur ne se connecte plus en direct mais sur l'un des serveur le plus proche de sa connexion, un peu comme un énooorme cache ! Pour se faire, lors de l'inscription, cloudflare récupère automatiquement et sans difficulté ta zone dns et demande que tu modifie les serveurs dns pour qu'il gère de lui-même (dans l'admin de ton nom de domaine, c'est editer serveur dns et remplacer par ceux de cloudflare).

La configuration ne prend pas plus de quelques minutes pour se faire et fait économiser entre 5 et 10% de connexion (d'après mes constatations strictement personnelles). Tu peux à tout moment décider de revenir à l'état initial en changeant chez ton registrar à nouveau les serveurs dns par ceux d'origine. Pour le SSL universal, il suffit d'indiquer d'activer le ssl et c'est tout ! Ainsi tu peux bénéficer du https. Ce qui est sécurisé, c'est la connexion des serveurs de cloudflare au navigateur des visiteurs mais pas celui de ton serveur à ceux de cloudflare.

c'est donc une alternative GRATUITE et intéressante que l'on peut utiliser sans problème avec les sites Joomla et offre une réponse à l'invitation de Google à passer les sites en https : http://prntscr.com/6hfju0

Pour ChristopheW, c'est un hébergeur qui propose des certificats. Sa proposition est de nature commerciale. Il a donc lu ton message mais n'a pas respecté les règles de la FAQ interdisant toute offre ou de l'autopromo. Il aurait mieux choisi à proposer uniquement un lien vers son comparateur de prix en signature (ce qui est toléré) et de donner les infos comme tu viens de résumer. Après, libre à toi de choisir le prestataire et le type de certificat. Merci à ChristopheW pour sa compréhension.

Salut, est-ce que qqn a déjà utilisé le certificat SSL proposé par 1&1 ? Et ce qqn a-t-il un avis ?

Bonjour,
Chaque hébergeur dispose également de solutions ssl, il suffit de lire leur proposition (dans le cas de 1&1 c'est donc équivalent à un quickSSL Premium de GeoTrust).

[ChristopheW]

Re : Quel certificat SSL ?

Objectivement, leur offre est intéressante... [edit modo : pas d'indication tarifaire merci]

Le certificat SSL qu'ils proposent est "équivalent" au QuickSSL Premium comme ils l'indiquent sur leur page.
Notre entreprise le propose à _. Les 2 autres plus gros revendeurs SSL le proposent _...

S'il est payable mensuellement, et pour les 5€ de plus, ça peut être intéressant pour ceux qui souhaitent obtenir un QuickSSL Premium

Mais le SSL 123 _ reste plus intéressant d'un point de vue rapport qualité / prix...
D'un point de vue technique et sécurité, il est identique au QuickSSL Premium de GeoTrust... Vous payez la marque.

Je recommande GeoTrust uniquement pour les certificats SSL EV (barre d'adresse verte), ils sont moins cher.

Je n'intégrerai pas d'adresses vers notre site pour éviter que mon message ne soit supprimé...

En réponse à daneel, j'avais intégré un lien vers notre offre, car elle est plus intéressante que celle citée par Robert...
Pour un produit strictement identique à un tarif plus intéressant, mon message est, je pense, utile pour Robert...

De plus, j'apportais dans mon message des informations répondant, je pense, à ses interrogations...
Éventuellement, il aurai été utile de supprimer uniquement l'adresse et de laisser le reste de ma réponse.

Concernant le comparateur SSL et pour ne pas faire d'auto-promotion, il suffit de taper "comparateur ssl" sur Google, de comparer les prix avec les différents revendeurs...

[RobertG]

Re : Quel certificat SSL ?

Si je comprends bien le fonctionnement de Cloudflare, en changeant les DNS chez mon registrar, je vais envoyer mes visiteurs chez Cloudflare qui viendra récupérer les infos chez mon hébergeur pour les lui livrer ?

Ceci dit, compte tenu du public visé par mes sites et ceux de mes clients, je ne vois pas l'intréêt d'un CDN, mais c'est un autre débat...

[daneel]

Re : Quel certificat SSL ?

Objectivement, leur offre est intéressante... [edit modo : pas d'indication tarifaire merci]

Evitons également de déballer les tarifs du qui est le moins cher. Les propositions commerciales sont exclues avec ou sans lien. Il suffira de se rapporter au descriptif de chacun (sur les sites respectifs des hébergeurs et prestataires) pour en connaître le tarif et faire son choix.

@robert : oui c'est un autre débat mais toujours prêt à en discuter si tu ouvre le sujet

[ghazal]

Re : Quel certificat SSL ?

@daneel

Je partage ton intérêt pour les CDN, autre sujet à ouvrir qui pourrait en intéresser certains.

[ghazal]

Re : Quel certificat SSL ?

Salut,
je viens de tomber sur ce post sur StackExchange :
ssl - Joomla 3 Losing Sessions between HTTP and HTTPS - Joomla Stack Exchange

http://joomla.stackexchange.com/questions/9168/joomla-3-losing-sessions-between-http-and-https

En résumé, l'auteur du post a repéré un bug où, lors d'une session utilisateur, la redirection entre HTTP et HTTPS ne se fait pas ou mal.
Une solution est proposée via .htaccess, sous cette forme :

RewriteEngine On
RewriteCond %{HTTPS} off
RewriteRule .* https://%{HTTP_HOST}%{REQUEST_URI} [L,R=301]

Qu'en pensez-vous ?