Re: Certificat de spip.net

Salut,

Le 22/06/2017 à 13:41, Olivier Gautier a écrit :
> Bonjour à tous,
> 
> Depuis quelques jours, nous rencontrons un problème d'accès à l'aide via 
> l'interface privée de SPIP : l'aide est vide sur l'ensemble des 700 
> sites que nous hébergeons.
> En creusant un peu, nous nous sommes aperçu que les connexions vers 
> l'aide essaient de charger la page https://www.spip.net/aide/fr-aide.html
> Or, le certificat déposé pour cette page ne correspond pas au domaine 
> spip.net mais au domaine geodiversite.net, d'où le refus de 
> téléchargement par notre serveur proxy.
> 
> L'équipe SPIP dispose-t-elle d'un certificat correspondant au bon nom de 
> domaine ? Si oui, est-il possible de mettre à jour le certificat ?
> 

Oui, on dispose bien d'un certificat valide pour spip.net :)

openssl s_client -showcerts -servername www.spip.net -connect 
www.spip.net:443

(remarquez l'option -servername pour la prise en charge du SNI)

Il semble que votre proxy ou votre infra réseau utilise une version 
dépassée d'openssl ne supportant pas SNI, et c'est ce qui provoque 
l'erreur de votre côté :

- 
https://major.io/2012/02/07/using-openssls-s_client-command-with-web-servers-using-server-name-indication-sni/
- https://maulwuff.de/research/ssl-debugging.html#hdr3.1
- 
https://kdecherf.com/blog/2009/07/26/apache-sni-avoir-plusieurs-certificats-ssl-sur-une-meme-adresse-ip/

Plus précisément, c'est la redirection de http://www.spip.net vers son 
pendant en https qui bloque de votre côté cf 
https://stackoverflow.com/a/21424197

Quelle est la librairie ssl utilisée par votre infra, et quelle est sa 
version ?

++
b_b