passe le portail en HTTPS sur syllabuslab.fr, avec en-têtes de sécurité et CSP

Certificat Let's Encrypt obtenu et renouvelé par certbot (authentificateur
nginx), expiration surveillée par Prometheus. TLS selon Mozilla v6.0
intermediate, HSTS, CSP stricte avec nonce sur l'application et adaptée
sur la vitrine, xterm.js servi par le portail. Page de statut prévue sur
status.syllabuslab.fr, administration de Grafana et Kuma par tunnel seul.

Corrige aussi une faille XSS dans la page de classe, la page /cours en
erreur depuis l'étape 8, et NodeSource relancé à chaque déploiement.

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>

ansible/roles/portail/defaults/main.yml

@@ -6,3 +6,13 @@ portail_mysql_user: portail
 portail_dossier_docker: /etc/portail
 portail_dossier_app: /var/www/portail
 portail_php_version: "8.3"
+
+# Étape 12 : HTTPS
+portail_domaine: syllabuslab.fr
+portail_domaines_alias: [www.syllabuslab.fr]
+# Page de statut publique d'Uptime Kuma : activée seulement quand ce nom
+# résout vers le serveur (le rôle le vérifie à chaque passage).
+portail_domaine_statut: status.syllabuslab.fr
+portail_statut_slug: syllabus
+portail_ip_publique: 163.172.4.195
+portail_port_uptime_kuma: 3001

ansible/roles/portail/tasks/01-systeme.yml

@@ -82,7 +82,9 @@
     - name: ajouter le dépôt NodeSource
       ansible.builtin.shell:
         cmd: curl -fsSL https://deb.nodesource.com/setup_22.x | bash -
-        creates: /etc/apt/sources.list.d/nodesource.list
+        # Le script crée un fichier deb822 (.sources) : avec l'ancien nom
+        # (.list), il était relancé en root à chaque déploiement.
+        creates: /etc/apt/sources.list.d/nodesource.sources
 
     - name: installer nodejs
       ansible.builtin.apt:

ansible/roles/portail/tasks/03-code.yml

@@ -122,6 +122,9 @@
     - { cle: "LABS_DOSSIER", valeur: "/opt/labs" }
     # > timeout des superviseurs Horizon (300 s, config/horizon.php)
     - { cle: "REDIS_QUEUE_RETRY_AFTER", valeur: "330" }
+    # Étape 12 : HTTPS. Cookies de session envoyés en HTTPS seulement.
+    - { cle: "APP_URL", valeur: "https://{{ portail_domaine }}" }
+    - { cle: "SESSION_SECURE_COOKIE", valeur: "true" }
   no_log: true
   register: portail_env_mis_a_jour
   # Horizon charge la configuration une seule fois au démarrage : sans

ansible/roles/portail/tasks/05-nginx.yml

@@ -1,9 +1,50 @@
 ---
-- name: déployer le vhost Nginx du portail
+# Étape 12 : HTTPS par Let's Encrypt. certbot du dépôt Debian (2.1, mis à jour
+# avec le reste du système par unattended-upgrades), authentificateur nginx
+# en mode « certonly » : il ne modifie jamais nos fichiers de configuration,
+# Ansible reste seul maître du vhost.
+- name: installer Nginx et certbot
+  ansible.builtin.apt:
+    name: [nginx, certbot, python3-certbot-nginx]
+    state: present
+
+- name: déployer les extraits TLS et en-têtes de sécurité
+  ansible.builtin.template:
+    src: "{{ item }}.j2"
+    dest: "/etc/nginx/snippets/{{ item }}"
+    mode: "0644"
+  loop:
+    - syllabus-tls.conf
+    - syllabus-entetes.conf
+  notify: recharger nginx
+
+# La page de statut n'est servie que si son nom pointe déjà vers ce serveur :
+# sinon Let's Encrypt refuserait tout le certificat.
+- name: vérifier le DNS du sous-domaine de statut
+  ansible.builtin.command: getent ahostsv4 {{ portail_domaine_statut }}
+  register: portail_dns_statut
+  changed_when: false
+  failed_when: false
+
+- name: noter si la page de statut peut être activée
+  ansible.builtin.set_fact:
+    portail_statut_actif: "{{ portail_ip_publique in portail_dns_statut.stdout }}"
+    portail_noms_certificat: >-
+      {{ [portail_domaine] + portail_domaines_alias
+         + ([portail_domaine_statut] if portail_ip_publique in portail_dns_statut.stdout else []) }}
+
+- name: vérifier si le certificat existe déjà
+  ansible.builtin.stat:
+    path: "/etc/letsencrypt/live/{{ portail_domaine }}/fullchain.pem"
+  register: portail_certificat_avant
+
+- name: déployer le vhost (HTTP seul tant qu'aucun certificat n'existe)
   ansible.builtin.template:
     src: nginx-portail.conf.j2
     dest: /etc/nginx/sites-available/portail.conf
     mode: "0644"
+  vars:
+    portail_https_actif: "{{ portail_certificat_avant.stat.exists }}"
   notify: recharger nginx
 
 - name: activer le vhost
@@ -27,3 +68,57 @@
   loop:
     - "php{{ portail_php_version }}-fpm"
     - nginx
+
+- name: appliquer la configuration Nginx avant le défi Let's Encrypt
+  ansible.builtin.meta: flush_handlers
+
+# --keep-until-expiring : ne fait rien si le certificat est valide et couvre
+# déjà ces noms. --expand : ajoute un nom (ex. statut) au même certificat.
+# Pas d'e-mail : Let's Encrypt n'envoie plus d'avis d'expiration depuis 2025,
+# et le renouvellement est surveillé par Prometheus (voir supervision).
+- name: obtenir ou étendre le certificat Let's Encrypt
+  ansible.builtin.command:
+    cmd: >-
+      certbot certonly --nginx --non-interactive --agree-tos
+      --register-unsafely-without-email
+      --cert-name {{ portail_domaine }}
+      {% for nom in portail_noms_certificat %}-d {{ nom }} {% endfor %}
+      --expand --keep-until-expiring
+      --deploy-hook "systemctl reload nginx"
+  register: portail_certbot
+  changed_when: "'Successfully received certificate' in portail_certbot.stdout"
+
+- name: passer le vhost en HTTPS
+  ansible.builtin.template:
+    src: nginx-portail.conf.j2
+    dest: /etc/nginx/sites-available/portail.conf
+    mode: "0644"
+  vars:
+    portail_https_actif: true
+  notify: recharger nginx
+
+- name: vérifier que le renouvellement automatique est planifié
+  ansible.builtin.systemd:
+    name: certbot.timer
+    enabled: true
+    state: started
+
+# Pas d'e-mail Let's Encrypt : c'est Prometheus qui prévient si le
+# renouvellement ne se fait pas (règle CertificatExpireBientot).
+- name: déployer le script de mesure de l'expiration du certificat
+  ansible.builtin.template:
+    src: syllabus-expiration-certificat.sh.j2
+    dest: /usr/local/sbin/syllabus-expiration-certificat
+    mode: "0755"
+
+- name: mesurer l'expiration chaque jour
+  ansible.builtin.cron:
+    name: "expiration du certificat HTTPS (métrique Prometheus)"
+    user: root
+    hour: "6"
+    minute: "17"
+    job: /usr/local/sbin/syllabus-expiration-certificat
+
+- name: mesurer l'expiration maintenant
+  ansible.builtin.command: /usr/local/sbin/syllabus-expiration-certificat
+  changed_when: false

ansible/roles/portail/templates/nginx-portail.conf.j2

@@ -1,8 +1,5 @@
-server {
-    listen 80;
-    listen [::]:80;
-    server_name _;
-
+# Géré par Ansible (rôle portail) — ne pas modifier à la main.
+{% macro bloc_portail() %}
     root {{ portail_dossier_app }}/public;
     index index.php;
 
@@ -36,4 +33,95 @@ server {
 
     access_log /var/log/nginx/portail-access.log;
     error_log /var/log/nginx/portail-error.log;
+{% endmacro %}
+{% if portail_https_actif %}
+# HTTP : tout part en HTTPS. Les noms connus gardent leur nom ; une requête
+# sur l'IP ou un nom inconnu est envoyée vers le domaine principal.
+server {
+    listen 80;
+    listen [::]:80;
+    server_name {{ portail_domaine }} {{ portail_domaines_alias | join(' ') }}{% if portail_statut_actif %} {{ portail_domaine_statut }}{% endif %};
+    server_tokens off;
+    # Dans une location (pas au niveau server) : la location exacte que
+    # certbot ajoute pour le défi ACME au renouvellement reste prioritaire.
+    location / {
+        return 301 https://$host$request_uri;
+    }
 }
+
+server {
+    listen 80 default_server;
+    listen [::]:80 default_server;
+    server_name _;
+    server_tokens off;
+    location / {
+        return 301 https://{{ portail_domaine }}$request_uri;
+    }
+}
+
+# www → domaine principal (une seule adresse canonique).
+server {
+    listen 443 ssl http2;
+    listen [::]:443 ssl http2;
+    server_name {{ portail_domaines_alias | join(' ') }};
+    server_tokens off;
+    include snippets/syllabus-tls.conf;
+    include snippets/syllabus-entetes.conf;
+    return 301 https://{{ portail_domaine }}$request_uri;
+}
+
+server {
+    listen 443 ssl http2 default_server;
+    listen [::]:443 ssl http2 default_server;
+    server_name {{ portail_domaine }};
+    server_tokens off;
+    include snippets/syllabus-tls.conf;
+    include snippets/syllabus-entetes.conf;
+{{ bloc_portail() }}
+}
+{% if portail_statut_actif %}
+
+# Page de statut publique d'Uptime Kuma, et RIEN d'autre : l'administration
+# (tableau de bord, /socket.io, /metrics…) reste accessible par tunnel SSH
+# uniquement. Chemins relevés dans server/routers/status-page-router.js.
+server {
+    listen 443 ssl http2;
+    listen [::]:443 ssl http2;
+    server_name {{ portail_domaine_statut }};
+    server_tokens off;
+    include snippets/syllabus-tls.conf;
+    include snippets/syllabus-entetes.conf;
+
+    location = / {
+        return 302 /status/{{ portail_statut_slug }};
+    }
+
+    location ~ ^/(status/[a-z0-9-]+$|api/status-page/|assets/|upload/|icon\.svg$|favicon\.ico$|apple-touch-icon[a-z0-9-]*\.png$|robots\.txt$) {
+        limit_except GET HEAD {
+            deny all;
+        }
+        proxy_pass http://127.0.0.1:{{ portail_port_uptime_kuma }};
+        proxy_set_header Host $host;
+        proxy_set_header X-Forwarded-For $remote_addr;
+        proxy_set_header X-Forwarded-Proto https;
+    }
+
+    location / {
+        return 404;
+    }
+
+    access_log /var/log/nginx/statut-access.log;
+    error_log /var/log/nginx/statut-error.log;
+}
+{% endif %}
+{% else %}
+# Avant le premier certificat : HTTP seul, avec les noms du domaine pour que
+# certbot (authentificateur nginx) trouve le bon bloc.
+server {
+    listen 80 default_server;
+    listen [::]:80 default_server;
+    server_name {{ portail_domaine }} {{ portail_domaines_alias | join(' ') }} _;
+    server_tokens off;
+{{ bloc_portail() }}
+}
+{% endif %}

ansible/roles/portail/templates/syllabus-entetes.conf.j2

@@ -0,0 +1,10 @@
+# Géré par Ansible (rôle portail). En-têtes communs à tous les sites HTTPS.
+# La Content-Security-Policy du portail est posée par Laravel
+# (App\Http\Middleware\PolitiqueSecuriteContenu) : elle dépend de la page.
+# Attention : un add_header dans un bloc location masque ceux du server.
+add_header Strict-Transport-Security "max-age=63072000; includeSubDomains" always;
+add_header X-Content-Type-Options "nosniff" always;
+add_header X-Frame-Options "DENY" always;
+add_header Referrer-Policy "strict-origin-when-cross-origin" always;
+add_header Permissions-Policy "camera=(), microphone=(), geolocation=(), payment=()" always;
+add_header Cross-Origin-Opener-Policy "same-origin" always;

ansible/roles/portail/templates/syllabus-expiration-certificat.sh.j2

@@ -0,0 +1,14 @@
+#!/bin/sh
+# Géré par Ansible (rôle portail). Publie la date d'expiration du certificat
+# HTTPS pour Prometheus (collecteur textfile de node_exporter) : alerte
+# CertificatExpireBientot si le renouvellement automatique échoue.
+set -eu
+CERT=/etc/letsencrypt/live/{{ portail_domaine }}/fullchain.pem
+DOSSIER=/var/lib/node_exporter/textfile
+FIN=$(date -d "$(openssl x509 -enddate -noout -in "$CERT" | cut -d= -f2)" +%s)
+cat > "$DOSSIER/certificat.prom.tmp" <<METRIQUE
+# HELP syllabus_certificat_expiration_timestamp Date d'expiration du certificat HTTPS (secondes Unix).
+# TYPE syllabus_certificat_expiration_timestamp gauge
+syllabus_certificat_expiration_timestamp{domaine="{{ portail_domaine }}"} $FIN
+METRIQUE
+mv "$DOSSIER/certificat.prom.tmp" "$DOSSIER/certificat.prom"

ansible/roles/portail/templates/syllabus-tls.conf.j2

@@ -0,0 +1,14 @@
+# Géré par Ansible (rôle portail). Mozilla SSL Configuration Guidelines v6.0,
+# profil « intermediate » (vieux postes et Chromebooks compris), adapté :
+# - pas de X25519MLKEM768 (OpenSSL 3.5 requis, Debian 12 a la 3.0) ;
+# - pas d'OCSP stapling (Let's Encrypt ne fournit plus d'OCSP depuis 2025) ;
+# - suites ECDHE uniquement : aucun paramètre Diffie-Hellman à générer.
+ssl_certificate /etc/letsencrypt/live/{{ portail_domaine }}/fullchain.pem;
+ssl_certificate_key /etc/letsencrypt/live/{{ portail_domaine }}/privkey.pem;
+ssl_protocols TLSv1.2 TLSv1.3;
+ssl_ecdh_curve X25519:prime256v1:secp384r1;
+ssl_ciphers ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305;
+ssl_prefer_server_ciphers off;
+ssl_session_timeout 1d;
+ssl_session_cache shared:SyllabusTLS:10m;
+ssl_session_tickets off;