Comment mettre le cadenas HTTPS gratuit sur votre site Lightsail avec Let's Encrypt

Le cadenas qui apparaît à côté de l'adresse d'un site signifie que la connexion est chiffrée et que le site est bien celui qu'il prétend être. Sans lui, les navigateurs avertissent « site non sécurisé », Google vous classe moins bien et les formulaires circulent en clair. Il y a des années, un certificat coûtait de l'argent et de la paperasse ; aujourd'hui, Let's Encrypt les donne gratuitement et ils se renouvellent tout seuls.

Sur une machine Lightsail, il y a deux situations. Si vous l'avez créée depuis un modèle d'application (WordPress, Joomla, LAMP...), c'est une image Bitnami et elle contient un outil qui fait tout avec quelques questions. Si c'est un Linux « nu » (Ubuntu, Debian, Amazon Linux) où vous avez installé vous-même le serveur web, vous utiliserez Certbot, qui est simple aussi. Le guide couvre les deux cas.

Pas à pas

1. Vérifiez le domaine et le pare-feu

   Deux conditions sans lesquelles rien ne fonctionnera. D'abord, le domaine doit déjà pointer vers l'IP de la machine (et il vaut mieux que ce soit une IP statique) : tapez le domaine dans le navigateur et votre site doit se charger, même sans cadenas. Ensuite, dans Lightsail, onglet Mise en réseau de la machine, le pare-feu doit avoir HTTP (80) et HTTPS (443) ouverts. Le 443 n'est pas ouvert par défaut : ajoutez-le s'il manque.

2. Ouvrez le terminal de la machine

   Dans la console Lightsail, cliquez sur le bouton Se connecter via SSH de la machine (l'icône de terminal orange). Une fenêtre noire s'ouvre dans le navigateur, où vous taperez les commandes des étapes suivantes. Pas besoin d'installer le moindre programme sur votre ordinateur.

3. Si votre machine est Bitnami : utilisez son outil

   Tapez :

   sudo /opt/bitnami/bncert-tool

   Il vous demandera les domaines (tapez midominio.com www.midominio.com), si vous voulez rediriger HTTP vers HTTPS (dites oui) et si vous voulez que www redirige vers le domaine sans www ou l'inverse (choisissez-en un). À la fin, il demande un e-mail pour les avis de Let's Encrypt et que vous acceptiez ses conditions. Il redémarre les services pour vous. Quand il a terminé, le certificat est en place et le renouvellement programmé. Passez à l'étape 5.

4. Si votre machine est un Linux normal : utilisez Certbot

   Sur Ubuntu ou Debian avec Apache :

   sudo apt update
   sudo apt install -y certbot python3-certbot-apache
   sudo certbot --apache -d midominio.com -d www.midominio.com

   Avec Nginx, remplacez python3-certbot-apache par python3-certbot-nginx et --apache par --nginx. Certbot vous demande un e-mail, d'accepter les conditions et si vous voulez rediriger tout le trafic vers HTTPS (dites oui). Il modifie lui-même la configuration du serveur web et la recharge. Sur Amazon Linux, les noms des paquets changent ; la documentation de Certbot donne les instructions exactes pour chaque système.

5. Vérifiez le cadenas

   Ouvrez https://midominio.com dans le navigateur : le cadenas doit apparaître et, en cliquant dessus, un certificat émis par Let's Encrypt (il apparaît comme « R3 », « R10 » ou un autre nom court). Testez aussi la version sans https : elle doit rediriger toute seule vers la version sécurisée. Si vous utilisez WordPress, vérifiez dans Réglages, Général que les deux adresses commencent par https.

6. Confirmez qu'il se renouvellera tout seul

   Les certificats Let's Encrypt expirent au bout de 90 jours, mais bncert-tool comme Certbot laissent le renouvellement automatique programmé. Pour être tranquille, dans le terminal :

   sudo certbot renew --dry-run

   (Sur Bitnami, l'équivalent est de vérifier que la tâche existe dans sudo crontab -l.) Si l'essai se termine sans erreur, vous n'aurez plus à y toucher. Let's Encrypt vous enverra un e-mail si un jour le renouvellement échoue.

Ce qui peut mal tourner