Dans cet article, vous apprendrez :
- Comment HTTPS fonctionne dans WEDOS Protection
- Le Pass-Through Mode et ses options
- HSTS (HTTP Strict Transport Security)
- Let’s Encrypt et les certificats personnalisés
- Comment configurer les paramètres HTTPS
- Foire aux questions
HTTPS dans WEDOS Protection
HTTPS est une exigence fondamentale pour les sites web modernes : il chiffre les données transmises entre les visiteurs et le serveur et les protège contre l’interception et la falsification. WEDOS Protection offre une prise en charge intégrée de HTTPS, permettant un traitement sécurisé du trafic au niveau du proxy tout en conservant des performances élevées et des contrôles de sécurité robustes.
Par défaut, WEDOS Protection agit comme un reverse proxy sécurisé. La connexion TLS chiffrée du visiteur est terminée au niveau du edge WGP, où la requête est temporairement déchiffrée afin de pouvoir être inspectée à la recherche d’attaques. Une fois tous les contrôles de sécurité appliqués, la requête est de nouveau chiffrée et transmise en toute sécurité au serveur d’origine.
Cela signifie que, pour que la protection complète de la couche applicative (L7) soit efficace, WGP doit disposer d’un certificat valide pour votre domaine. WEDOS Protection peut le gérer automatiquement via Let’s Encrypt, ou vous pouvez téléverser votre propre certificat personnalisé à partir du tarif Expert.
Mode Pass-Through
Le Pass-Through Mode définit la manière dont le trafic HTTPS est traité et protégé pour le domaine : de la protection complète de la couche applicative (par défaut) à la protection réseau seule, jusqu’à l’absence totale d’inspection. Trois options sont disponibles :
- Full Protection (L3/L4 and L7) – par défaut. Le pass-through est désactivé et WGP protège votre domaine sur toutes les couches. TLS est terminé au niveau du edge WGP, le trafic est inspecté par les filtres de niveau réseau et de niveau applicatif (y compris le WAF), puis rechiffré avant d’être transmis à l’origine.
- Protection réseau (L3/L4 uniquement). La protection L7 est désactivée et seules les règles et les filtres de niveau réseau sont appliqués à votre domaine. WGP ne termine pas TLS, aucune inspection de la couche applicative n’est donc possible. Utile lorsque la liaison avec l’origine doit rester chiffrée de bout en bout tout en conservant la protection anti-DDoS et le filtrage au niveau réseau.
- Pass-through (aucune inspection/protection). Aucune protection, inspection ni journalisation n’est appliquée. Toutes les requêtes sont transmises telles quelles au serveur d’origine. À n’utiliser que lorsque le chiffrement doit rester strictement de bout en bout et que vous assurez vous-même la protection au niveau de l’origine.
HSTS
HSTS (HTTP Strict Transport Security) est une politique de sécurité appliquée par le navigateur qui impose aux navigateurs des visiteurs de toujours se connecter à votre site web en HTTPS, jamais en HTTP non chiffré. Lorsque HSTS est activé dans WEDOS Protection, WGP ajoute l’en-tête de réponse Strict-Transport-Security à toutes les réponses HTTPS du domaine.
Lorsque HSTS est activé :
- Les navigateurs réécrivent automatiquement les requêtes
http://enhttps://avant que le moindre trafic ne quitte l’appareil. - Les attaques par rétrogradation et par SSL stripping sont empêchées.
- Les accès accidentels via HTTP non sécurisé sont bloqués.
Cela protège les utilisateurs contre les attaques de type man-in-the-middle et garantit une communication chiffrée cohérente pour tous les visiteurs.
HSTS ne doit être activé que lorsque HTTPS est entièrement configuré et fonctionne correctement pour le domaine et tous ses sous-domaines. Une fois que le navigateur a enregistré la politique HSTS, il est impossible de la contourner avant son expiration ; une mauvaise configuration peut donc temporairement bloquer l’accès aux utilisateurs.
Let’s Encrypt et les certificats personnalisés
WEDOS Protection prend en charge deux types de certificats SSL/TLS : les certificats Let’s Encrypt gérés automatiquement (par défaut) et les certificats personnalisés téléversés par le client.
HTTPS avec Let’s Encrypt
Par défaut, WEDOS Protection émet et renouvelle automatiquement les certificats Let’s Encrypt pour votre domaine. Cette option :
- ne nécessite aucune gestion manuelle des certificats,
- fournit des certificats de confiance, largement acceptés,
- renouvelle automatiquement les certificats avant leur expiration.
C’est l’option recommandée pour la plupart des utilisateurs. Le renouvellement est assuré par WGP au moyen de la validation DNS-01 ; aucune intervention manuelle n’est donc nécessaire tant que le domaine reste délégué aux serveurs DNS de WGP.
HTTPS avec un certificat personnalisé
Les clients à partir du tarif Expert peuvent téléverser et gérer leurs propres certificats SSL/TLS. Les certificats personnalisés sont couramment utilisés lorsque :
- un certificat émis par l’organisation est exigé,
- une validation étendue (EV) ou une autorité de certification précise est nécessaire,
- une infrastructure de certificats existante doit être réutilisée.
Une fois téléversé, le certificat personnalisé est utilisé par WEDOS Protection pour sécuriser le trafic HTTPS du domaine sélectionné. Les renouvellements doivent être effectués manuellement par le client avant l’expiration du certificat.
Configuration de HTTPS
Pour configurer les paramètres HTTPS, procédez comme suit :
- Connectez-vous à l’administration WEDOS Global ⧉.
- Sélectionnez un domaine (ou un modèle) à configurer.
- Dans le menu de gauche, cliquez sur HTTPS.
Définir le Pass-Through Mode
Dans la section Mode Pass-Through , utilisez la liste déroulante pour sélectionner l’un des trois modes disponibles. Pour une description détaillée de chaque option, consultez le chapitre Mode Pass-Through ci-dessus.
Le mode par défaut est Protection complète (L3/L4 et L7). Nous recommandons de le laisser activé pour tout le trafic de production qui n’exige pas un chiffrement strictement de bout en bout.
Activer HSTS
Dans la section HSTS , cliquez sur Activer HSTS pour activer HSTS sur le domaine. WGP commencera à ajouter l’en-tête Strict-Transport-Security à toutes les réponses HTTPS. Pour désactiver HSTS, cliquez sur le même bouton (qui affichera alors Désactiver HSTS).
Avant d’activer HSTS, assurez-vous que :
- HTTPS fonctionne correctement pour le domaine et tous les sous-domaines concernés,
- un certificat valide est en place (Let’s Encrypt ou personnalisé),
- tous les liens et ressources internes se chargent en HTTPS (pas de contenu mixte).
Gérer le certificat
Dans la section Certificat personnalisé , utilisez la liste déroulante pour choisir entre HTTPS avec un certificat Let’s Encrypt (par défaut) et HTTPS avec certificat personnalisé.
Avec le certificat Let’s Encrypt sélectionné, aucune autre action n’est nécessaire : WGP émet et renouvelle le certificat automatiquement.
Avec le certificat personnalisé sélectionné, développez la section pour téléverser les fichiers du certificat. Vous devrez fournir :
- le fichier du certificat (au format PEM),
- le fichier de la clé privée,
- la chaîne de certificats intermédiaires, si elle n’est pas incluse avec le certificat.
Le téléversement de certificats personnalisés est disponible à partir du tarif Expert. N’oubliez pas que les certificats personnalisés ne se renouvellent pas automatiquement : remplacez le certificat avant son expiration afin d’éviter des erreurs TLS pour vos visiteurs.
FAQ
Mon serveur d’origine doit-il disposer de son propre certificat SSL lorsque j’utilise WEDOS Protection ?
Dans le mode par défaut Protection complète (L3/L4 et L7) , WGP termine TLS au niveau du edge avec son propre certificat. L’origine peut toujours utiliser HTTPS pour la connexion backend (recommandé pour la sécurité), mais les visiteurs ne voient que le certificat WGP. Dans les modes Protection réseau (L3/L4 uniquement) et Pass-through , l’origine doit disposer de son propre certificat valide, car la négociation TLS a lieu directement avec l’origine.
HTTPS Pass-Through revient-il à désactiver WGP ?
Non. En mode Pass-through (aucune inspection/protection) , le trafic continue de transiter par le réseau WGP : il n’est simplement ni inspecté, ni filtré, ni journalisé. Vous conservez le routage et la disponibilité du réseau Anycast, mais vous perdez la protection des couches applicative et réseau. Pour rétablir la protection, revenez au mode Protection complète ou Protection réseau.
Comment WGP renouvelle-t-il automatiquement les certificats Let’s Encrypt ?
WGP utilise la validation DNS-01 pour renouveler les certificats Let’s Encrypt. Un enregistrement TXT temporaire est placé sur _acme-challenge.yourdomain.com, Let’s Encrypt le vérifie, puis le certificat renouvelé est installé sur le edge WGP. Cela se produit automatiquement et ne requiert aucune action manuelle tant que votre domaine reste délégué aux serveurs DNS de WGP.
L’activation de HSTS va-t-elle casser mon site ?
Uniquement si HTTPS ne fonctionne pas entièrement au moment où HSTS est activé. Une fois que les navigateurs ont enregistré la politique HSTS, ils refusent tout repli vers HTTP pendant toute la durée de la politique. Avant d’activer HSTS, vérifiez que le site se charge correctement en HTTPS sur le domaine principal et sur tous les sous-domaines utilisés par les visiteurs, et qu’il n’y a aucun avertissement de contenu mixte.