Discussion :

[kileak]

Bonjour,

je suis assez inexpérimenté en matière de gestion de certif dans un site web, merci donc pour votre indulgence

J'ai un site web www.toto.com qui ne fait que du HTTP. Vu que je veux ajouter une zone client, je vais mettre cette zone en HTTPS.
Pour commencer, je compte prendre un certif chez OVH, mon hébergeur (j'ai un Kimsufi), qui va à priori me l'installer.
Ensuite, je vais devoir faire la config apache comme expliqué dans l'un de leur tuto http://guide.ovh.com/InstallsiteSSL. On redémarre et on croise les doigts pour que ça fonctionne.

Voici mes questions :
1- Je veux que la majeure partie du site reste en HTTP. Mais je ne vois pas dans le config exemple OVH, un répertoire en particulier (juste www).

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
<VirtualHost 213.186.37.141:443>
DocumentRoot "/home/ampli/www"
ServerName amplirikal.com
ServerAdmin tech@United-irc.org
ErrorLog logs/error_ssl_log
TransferLog logs/access_ssl_log
SSLEngine on
SSLCipherSuite ALL:!ADH:!EXPORT56:RC4+RSA:+HIGH:+MEDIUM:+LOW:+SSLv2:+EXP:+eNULL
SSLCertificateFile /usr/local/apache/conf/ssl.crt/amplirikal.com.crt
SSLCertificateKeyFile /usr/local/apache/conf/ssl.key/amplirikal.com.key
<Files ~ ".(cgi|shtml|phtml|php3?)$">
SSLOptions +StdEnvVars
</Files>
<Directory "/usr/local/apache/cgi-bin">
SSLOptions +StdEnvVars
</Directory>
</VirtualHost>
</IfDefine>

Est-ce que cela veut dire que mon site sera accessible de façon indifférente en HTTP ou HTTPS ?
2- Je veux que la partie du compte client soit en HTTPS absolument. En faisant qq essais sur le net, je peux très bien accéder à des pages HTTPS en HTTP en virant simplement le S ! Ca me parait un peu léger, non ? La solution est-elle de tester côté serveur (PHP dans mon cas) que la page appelée l'a bien été en HTTPS ?
3- Pour envoyer mon client sur son compte sécurisé, je dois simplement lui mettre un lien (ou faire un redirect) vers l'URL HTTPS. Est-ce correct ? (s'il tente de forcer en HTTP, je le jette applicativement, cf question 2)

Merci pour votre aide et vos conseils. Si par ailleurs vous avez de la littérature, je suis preneur. Je n'ai pour l'instant trouvé que des articles trop simples ou très techniques.

Bonne journée

[Ethan 0x21]

Bonjour,


1) C'est exa, le vhost comme le site par defaut ( 000-default) je présume, siéges dans /home/ampli/www.

2) Vous pouvez forcez le https via php en controllant la valeure de $_SERVER['SERVER_PORT'], si 443 alors rrécursion en https via la redirection HTTP 301.
Cependant vous pouvez via les réecritures a la volée (si activé sur votre serveur), effectuer cela à apache via par exemple (ici tout accés à /client/* est forcé en https) :

RewriteCond %{HTTPS} !=on
RewriteRule ^/client/(.*) https://%{SERVER_NAME}/client/$1 [R=301,L]

3) Lien ou redirection 301 peut importante, mais normalement si vous implémenté ce que j'ai dit en 2) le probléme ne se pose plus.



Cdt

[kileak]

Magnifique, un grand merci !
Je vais pouvoir faire ça 3 lignes dans mon .htaccess

Bonne journée