Tomcat - Installation certificat SSL

Ce guide vous explique comment installer un certificat SSL qui vient de vous être émis sur votre serveur web Tomcat. Si vous n'avez pas encore génére de fichier de demande de certificat, et n'avez pas encore commandé de certificat SSL, vous pouvez suivre l'article « Comment générer une demande de certificat avec OpenSSL ».

Importer le certificat SSL dans le keystore Java

Avant de configurer Tomcat, vous devez importer le certificat SSL dans le keystore Java du serveur. Pour savoir comment, suivez l'article « Comment installer un certificat SSL avec keytool? ».

Configurer Tomcat pour SSL

Pas 1: Configurez le connecteur SSL de Tomcat

Vous devez créer un nouveau connecteur SSL dans Tomcat pour pouvoir accepter des connexions sécurisées.

Trouver le fichier server.xml de Tomcat, d'habitude dans le dossier conf de votre installation Tomcat, et ouvrez le dans un éditeur de texte.

Cherchez une section connecteur qui écoute au port 443 or 8443. Si vous n'avez pas encore configuré de site web SSL sur Tomcat auparavant, cette section sera en commentaire. Supprimer les commentaires si nécessaires et modifiez la configuration du connecteur en saisissant les paramètres de votre keystore:

<Connector<strong> port="443"</strong> maxHttpHeaderSize="8192" maxThreads="150" minSpareThreads="25" maxSpareThreads="75" enableLookups="false" disableUploadTimeout="true" acceptCount="100" <strong>scheme="https"</strong> <strong>secure="true"</strong> <strong>SSLEnabled="true"</strong> clientAuth="false" <strong>sslProtocol="TLS"</strong> keyAlias="www_server_com" <strong>keystoreFile="/etc/certs/www_server_com.jks"</strong> <strong>keystorePass="votre_mot_de_passe_keystore"</strong> />

Sauvegardez vos modifications au fichier server.xml.

Pas 2: Relancez Tomcat

Relancez Tomcat pour charger votre nouveau connecteur SSL.

Pas 3: Déboguage

Si votre certificat ne s'affiche pas correctement dans le navigateur, contrôlez si la chaine entière de certificats est envoyé par le serveur web avec la commande suivante, en remplaçant www.kinamo.be par votre propre nom de domaine:

openssl s_client -connect www.kinamo.be:443
...
Certificate chain
 0 s:/1.3.6.1.4.1.311.60.2.1.3=BE/businessCategory=Private Organization/serialNumber=0861.077.215/C=BE/ST=Antwerpen/L=antwerpen/O=Kinamo NV/CN=www.kinamo.be
 i:/C=US/O=GeoTrust Inc./CN=GeoTrust Extended Validation SSL CA - G2
 1 s:/C=US/O=GeoTrust Inc./CN=GeoTrust Extended Validation SSL CA - G2
 i:/C=US/O=GeoTrust Inc./CN=GeoTrust Primary Certification Authority

Vous devriez voir une chaine de certificats commençant par le vôtre et se terminant par le certificat principal de l'émetteur.

Pas 4: Test de sécurité

Visitez la page de test de Qualys SSL Labs pour vérifier si votre serveur web et votre certificat correspondent au dernières normes de sécurité.