Un certificat sans y penser
ToutWAF commande le certificat d'un site, l'installe sur vos nœuds sans interrompre une poignée de main et le renouvelle 30 jours avant son expiration.
Certificats et TLS
Des certificats commandés et renouvelés automatiquement auprès de l'autorité de votre choix, un TLS moderne, HTTP/2 et vos propres certificats. ToutWAF vérifie votre DNS avant de commander, pour ne pas gaspiller vos essais.
Où le trouver dans la console : menu Infrastructure : Certificats (bloc « Sites sans certificat » et réglages ACME) ; l'assistant de mise en ligne et le Docteur ToutWAF.
À quoi ça sert
Des commandes qui n'échouent pas pour rien
Avant de contacter l'autorité, ToutWAF contrôle le nœud, le port 80 et vos enregistrements A et AAAA. Une commande vouée à l'échec n'est pas envoyée.
L'autorité de votre choix
Let's Encrypt, ZeroSSL, Google Trust Services ou SSL.com. Avec une licence : des autorités de secours et n'importe quel annuaire ACME, payant ou interne.
Vos certificats et un TLS moderne
Importez les vôtres, choisissez TLS 1.2 et 1.3 ou 1.3 seul, agrafage OCSP, HSTS, TLS mutuel et HTTP/2.
Du nom de domaine au certificat installé
Le plan de contrôle commande et stocke le certificat ; les nœuds le récupèrent régulièrement et le chargent à chaud.
Contrôles avant la commande
Un nœud est enrôlé et en ligne, une politique est publiée, le port 80 écoute, et chaque enregistrement A et AAAA du nom mène bien à ce ToutWAF.
Défi HTTP-01 ou DNS-01
HTTP-01 prouve que le nom mène ici par le port 80. DNS-01 sert aux jokers (*.example.com) et quand votre hébergeur bloque le port 80.
Installation à chaud et renouvellement
Les nœuds récupèrent les certificats toutes les 60 secondes. Le nom demandé par le navigateur (SNI) choisit le bon certificat, sans redémarrage.
Le piège classique : IPv6 et CDN
Les navigateurs et les autorités essaient l'IPv6 en premier. Un enregistrement AAAA oublié chez un CDN fait échouer la commande avec une erreur qui ne parle jamais de DNS. ToutWAF regarde les deux familles d'adresses.
- Un nom qui ne résout pas, un enregistrement qui pointe ailleurs, ou une adresse privée : le contrôle le dit et propose quoi faire.
- Un AAAA appartenant à un proxy alors que le A pointe ici est reconnu (Cloudflare par exemple) : supprimez le AAAA ou désactivez le proxy le temps de la commande, ou utilisez DNS-01.
- Le test facultatif depuis Internet fait essayer votre site par le serveur de test de Let's Encrypt, sans garder de certificat.
- Rien sur vos visiteurs ni sur le contenu de vos pages n'est envoyé.
Choisir l'autorité de certification
GratuitPro et plus
Une autorité publique de votre choix est gratuite. Les options de secours et les annuaires payants ou internes demandent une licence.
- Gratuit : Let's Encrypt (par défaut), ZeroSSL, Google Trust Services ou SSL.com. Les trois dernières demandent une clé de compte (EAB) que vous créez chez elles.
- Sous licence : jusqu'à trois autorités de secours, essayées dans l'ordre quand la première ne peut pas émettre (limite de débit, panne, compte refusé, enregistrement CAA).
- Sous licence : un autre annuaire ACME, payant (Sectigo, DigiCert...) ou interne (step-ca, Vault PKI).
- ToutWAF lit les enregistrements CAA du domaine et écarte les autorités qu'il ne nomme pas. Une validation qui échoue ne fait pas changer d'autorité.
Pas encore essayée en conditions réellesLes annuaires des quatre autorités ont été lus en direct, mais les commandes, le changement d'autorité et le contrôle CAA ont été essayés contre un serveur ACME simulé.
DNS-01 et certificats jokers
ToutWAF ne gère pas votre zone DNS : il vous dit quoi créer et le vérifie.
- Avec un webhook DNS, le plan de contrôle lui envoie l'enregistrement TXT à poser puis à retirer.
- Sans webhook, le mode manuel affiche l'enregistrement TXT à créer et attend qu'il apparaisse, jusqu'à dix minutes.
- Sur un nœud autonome, DNS-01 sait aussi appeler Cloudflare, OVH ou Route 53, ou lancer votre commande.
- Essayez d'abord l'environnement de test de l'autorité pour éviter ses limites de débit.
Pas encore essayée en conditions réellesLes fournisseurs DNS n'ont pas été essayés avec de vrais appels.
Vos propres certificats
Gratuit
Importez un certificat et sa clé au format PEM, ou déposez les fichiers dans le dossier prévu.
- Les certificats sont rechargés sans redémarrage ni poignée de main interrompue ; le choix se fait par SNI selon les noms du certificat.
- Les clés privées ne sont jamais renvoyées par l'API.
- Avant le premier certificat, un site est servi en HTTP simple ; il n'est redirigé vers HTTPS qu'une fois un vrai certificat installé.
TLS et protocoles
Gratuit
Des réglages sobres, avec des valeurs par défaut raisonnables.
- Profil intermédiaire (TLS 1.2 et 1.3) ou moderne (TLS 1.3 seul).
- HTTP/1.1 et HTTP/2 vers les visiteurs ; HTTP/2 ou h2c vers l'origine. WebSocket, événements serveur (SSE) et gRPC passent par le proxy.
- Agrafage OCSP, HSTS, et TLS mutuel : certificats clients des visiteurs, et certificat présenté à l'origine.
- Une alerte prévient 14 jours avant l'expiration d'un certificat.
Ce qui n'est pas fait, ou pas éprouvé
Nous préférons le dire clairement.
- HTTP/3 (QUIC) n'est pas proposé, ni l'échange de clés post-quantique, ni ECH.
- Les commandes auprès de vraies autorités et les fournisseurs DNS n'ont pas encore été essayés en conditions réelles : commandez d'abord le certificat d'un site qui peut attendre, et lisez le journal de la tâche.
- ToutWAF ne gère pas votre DNS et ne crée aucun enregistrement : il vous dit lesquels créer.
- Les certificats sont publics par conception : les noms qu'ils contiennent sont visibles de tous, quel que soit l'outil.
Cas d'usage
Mettre un nouveau site en HTTPS
Le DNS est vérifié, le certificat est commandé quand tout est au vert, puis la redirection vers HTTPS s'active.
Protéger *.example.com
Un certificat joker par DNS-01, avec un webhook DNS ou en mode manuel.
Un certificat d'entreprise existant
Vous importez le certificat de votre autorité interne ; il est rechargé à chaud quand vous le remplacez.
Ce qui est inclus, par édition
La base est gratuite ; les options avancées demandent une offre payante. Une option sous licence reste visible dans la console, verrouillée, jamais cachée.
ÉditionGratuit Inclus dans toutes les offres, dont les deux offres gratuites (Free et Free +)Pro et plus Offres payantes : visible dans la console, verrouillé sans licence. À partir de Pro, sauf mention Agency ou Enterprise
Pas encore essayée en conditions réelles Fonctionne dans les tests du produit, mais n'a pas encore été essayée avec le vrai service, le vrai système ou le vrai matériel. La console affiche la même mention à l'endroit où vous la configurez.
- TLS 1.2 et 1.3 (profil intermédiaire) ou TLS 1.3 seul (profil moderne)Gratuit
- HTTP/1.1 et HTTP/2 vers les visiteurs, HTTP/2 ou h2c vers l'origine (HTTP/3 n'est pas disponible)Gratuit
- Certificats automatiques auprès d'une autorité de votre choix : Let's Encrypt, ZeroSSL, Google Trust Services, SSL.com Pas encore essayée en conditions réellesGratuit
- Défis HTTP-01 et DNS-01, renouvellement 30 jours avant l'expirationGratuit
- Contrôles avant une commande : enregistrements A et AAAA, détection d'un CDN, accessibilité du port 80Gratuit
- Vos propres certificats, rechargés sans interrompre une poignée de mainGratuit
- Agrafage OCSP et HSTSGratuit
- TLS mutuel : certificats clients des visiteurs, et vers l'origineGratuit
- Proxy WebSocket, événements envoyés par le serveur (SSE) et gRPCGratuit
- Plusieurs autorités avec bascule automatique, annuaires ACME payants ou internes Pas encore essayée en conditions réellesPro et plus
Revenir à la valeur par défaut d'une option avancée est toujours possible. Ce qui se passe à la fin d'une licence payante est décrit dans la FAQ des tarifs : 48 h de grâce, 48 h de lecture seule, puis protection WAF désactivée jusqu'au renouvellement.
Placez un bouclier devant vos applications dès aujourd'hui
Installez-le sur votre propre serveur, ou écrivez-nous pour parler de licences.