Distribution EOLE

C'est l'AC Sectigo (RENATER) qui ajoute un www en "Noms alternatifs du sujet"

• root@zephir:~# CreoleSet ssl_subjectaltname "zephir.ac-test.fr 
  www.zephir.ac-test.fr" 
  

• instance / re-génération du certificat (autosigné)
• diagnose OK
  

  .                  Certificat => OK
  .                      Chaîne => OK
  .                  Expiration => Fin de validité dans plus de 30 jours
  .                DNS reconnus => zephir.ac-test.fr www.zephir.ac-test.fr
  .                 Date de fin => dim. 01 mars 2026 17:37:04 CET
  .                          CA => CA-zephir.ac-test.fr
  

• root@zephir:~# CreoleSet ssl_subjectaltname "zephir.ac-test.fr" 
  

• diagnose KO
  

  .                  Certificat => Invalide
  .                      Chaîne => OK
  .                  Expiration => Fin de validité dans plus de 30 jours
  .                DNS reconnus => zephir.ac-test.fr www.zephir.ac-test.fr
  .               DNS superflus => www.zephir.ac-test.fr
  .                 Date de fin => dim. 01 mars 2026 17:37:04 CET
  .                          CA => CA-zephir.ac-test.fr
  

Ajouter les domaines "superflus" dans "Nom DNS alternatif du serveur" (ssl_subjectaltname) permet bien de faire disparaître l'erreur, ceci dit, ce cas de figure ne devrait pas faire remonter une erreur mais juste une information...

→ ne pas considérer ce cas de figure comme une erreur
→ afficher les noms de domaine superflus en orange voir en blanc car il s'agit uniquement d'une information

De mon point de vue, le certificat ne devrait être valide que pour des noms de domaines définis et le script ne devrait pas faire de déduction intelligente sur les exceptions à faire.

Dans le cas où la présence de noms de domaine superflus n’est pas remonté en erreur, l’utilisation du certificat pour un autre site que les sites déclarés rend ce site aussi légitime que les sites déclarés, sans que l’administrateur n’en soit clairement averti (par l’erreur).

Dans le cas présent où le nom superflu est accepté par l’administrateur, il me semble plus judicieux que l’administrateur ajoute ce nom dans la configuration.

Dans l’idéal, on devrait avoir un certificat par usage (identification machine, services), ce qui limiterait la nécessité d’avoir une multiplication des noms alternatifs dans un certificat.

<febcrash> pour https://dev-eole.ac-dijon.fr/issues/35264#note-9 ce n'est pas gênant puisqu'on peut corriger cette erreur en ajoutant le nom alternatif

Proposition : dans le diagnose, ajouter une ligne suggérant de l'ajouter aux noms DNS alernatifs.