passe le portail en HTTPS sur syllabuslab.fr, avec en-têtes de sécurité et CSP
Certificat Let's Encrypt obtenu et renouvelé par certbot (authentificateur nginx), expiration surveillée par Prometheus. TLS selon Mozilla v6.0 intermediate, HSTS, CSP stricte avec nonce sur l'application et adaptée sur la vitrine, xterm.js servi par le portail. Page de statut prévue sur status.syllabuslab.fr, administration de Grafana et Kuma par tunnel seul. Corrige aussi une faille XSS dans la page de classe, la page /cours en erreur depuis l'étape 8, et NodeSource relancé à chaque déploiement. Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>
This commit is contained in:
Adam Belkacemi
parent
aa004c0736
commit
618cd7efbe
30 changed files with 987 additions and 24 deletions
|
|
@ -462,3 +462,58 @@ Le stock chaud transforme une attente de 30 s en une attente de 4 s en faisant l
|
|||
**Vérifié** : `ss -tlnp` → `LISTEN 127.0.0.1:3001 users:(("node",...))` et rien d'autre ; `curl http://127.0.0.1:3001/` → 302 (redirection vers la page d'accueil de Kuma) ; port 3001 fermé sur l'IP publique depuis le Mac ; tables nftables inchangées ; second passage du playbook `changed=0`.
|
||||
|
||||
**Comprendre** : « healthy » veut dire que le conteneur répond *à lui-même*, pas qu'il est joignable de l'extérieur. Le seul test qui prouve qu'un service est accessible, c'est de s'y connecter par le chemin réel (ici : écoute sur l'hôte, puis tunnel). En réseau hôte, le conteneur partage la pile réseau du serveur : l'adresse d'écoute devient la seule barrière, d'où la vérification automatique ajoutée au rôle.
|
||||
|
||||
## 2026-10-09 — Étape 12 : domaine, HTTPS et sécurité
|
||||
|
||||
**Fait**
|
||||
|
||||
- DNS vérifié : `syllabuslab.fr` et `www` → `163.172.4.195`, pas d'AAAA ni de CAA.
|
||||
- **Certificat Let's Encrypt** (certbot 2.1 du dépôt Debian, `certonly` avec l'authentificateur nginx, sans e-mail) : `syllabuslab.fr` + `www`, valable jusqu'au 2027-01-07. Le rôle `portail` sert d'abord le site en HTTP avec les bons noms, obtient le certificat, puis passe le vhost en HTTPS ; aux passages suivants, certbot ne fait rien tant que le certificat est valide. Renouvellement par `certbot.timer`, rechargement de Nginx en crochet.
|
||||
- **Alerte d'expiration** : sans e-mail Let's Encrypt, c'est Prometheus qui prévient (métrique publiée chaque jour par le collecteur textfile, règles `CertificatExpireBientot` à moins de 14 jours et `CertificatNonMesure`).
|
||||
- **TLS** : recommandations Mozilla v6.0 « intermediate », lues à la source (TLS 1.2/1.3, suites ECDHE), sans `X25519MLKEM768` (OpenSSL 3.0) ni OCSP stapling (abandonné par Let's Encrypt). HTTP/2.
|
||||
- **Redirections** : HTTP → HTTPS, `www` → domaine principal, IP → domaine.
|
||||
- **En-têtes** (Nginx) : HSTS 2 ans `includeSubDomains`, `nosniff`, `X-Frame-Options DENY`, `Referrer-Policy`, `Permissions-Policy`, `Cross-Origin-Opener-Policy`, `server_tokens off`. Cookie de session `secure; httponly; samesite=lax`, `APP_URL` en HTTPS.
|
||||
- **CSP en deux niveaux** (Laravel, ADR 0004) : stricte avec nonce sur l'application, adaptée sur la vitrine. xterm.js est maintenant servi par le portail (Vite) au lieu de jsDelivr. Point de collecte `/csp-rapport`.
|
||||
- **Exposition** (choix d'Adam) : Grafana et Uptime Kuma restent accessibles par tunnel SSH seulement. Page de statut publique prévue sur `status.syllabuslab.fr`, filtrée par Nginx (seuls la page de statut et son API en lecture passent). Elle s'activera toute seule au passage du rôle quand le DNS existera.
|
||||
- `docs/dette.md` créé : la dette éparpillée dans le journal est regroupée, avec la demande d'Adam (figer l'image Uptime Kuma et la mettre à jour par Ansible).
|
||||
- 5 nouveaux tests Pest (23 au total) : CSP stricte et adaptée, nonce sur chaque script, rapport sans CSRF, toutes les pages publiques en 200.
|
||||
|
||||
**Problèmes rencontrés et solution**
|
||||
|
||||
1. **Faille XSS dans la page de classe** (étape 8) : `onsubmit="return confirm('… {{ $eleve->prenom }} …')"`. Blade échappe l'apostrophe en `'`, que le navigateur décode avant d'exécuter le JavaScript : un prénom importé par CSV comme `x');alert(1);//` s'exécutait chez le prof. Corrigé (attribut `data-confirmer` + écouteur), et la CSP stricte bloquerait désormais ce genre de script.
|
||||
2. **Page `/cours` en erreur 500 depuis l'étape 8** : la maquette `design/` elle-même a perdu la boucle et les données des cursus lors de sa refonte (3 `@foreach` pour 4 `@endforeach`), et `config/cours.php` n'avait pas été copié. Rétabli d'après `design/_backup-ludique` (sans toucher à `design/`). Le journal de l'étape 8 affirmait que « toutes les pages vitrine fonctionnent » : faux pour celle-ci. Un test ouvre maintenant toutes les pages publiques ; vérifié qu'il échoue sur l'ancienne version.
|
||||
3. **NodeSource relancé en root à chaque déploiement** : la condition `creates` visait `nodesource.list`, alors que le script crée `nodesource.sources`. Corrigé ; remplacement par un dépôt déclaratif noté en dette.
|
||||
4. Le scan depuis le Mac montrait 21, 554 et 1723 ouverts : c'est la box d'Adam (même résultat vers `192.0.2.1`, adresse inexistante). Côté serveur, rien n'écoute et nftables n'accepte que 22/80/443.
|
||||
5. Vérification dans un vrai navigateur impossible (extension Chrome non connectée) : la CSP est surveillée par ses rapports ; parcours manuel demandé à Adam.
|
||||
6. Ma commande de contrôle des en-têtes a affiché la valeur d'un cookie de session anonyme (ouvert par `curl`, sans connexion, donc sans valeur) ; le filtre de masquage visait un mauvais nom de cookie.
|
||||
|
||||
**Critère vérifié**
|
||||
|
||||
```
|
||||
subject=CN = syllabuslab.fr ; issuer=Let's Encrypt (YE2) ; notAfter=Jan 7 07:21:22 2027 GMT
|
||||
https://syllabuslab.fr -> HTTP 200, TLS vérifié: 0 (0 = OK), HTTP/2
|
||||
http://163.172.4.195/ -> 301 https://syllabuslab.fr/ ; https://www.syllabuslab.fr/cours -> 301 https://syllabuslab.fr/cours
|
||||
TLS 1.1 : refusé ; TLSv1.3, TLS_AES_256_GCM_SHA384
|
||||
certbot renew --dry-run : all simulated renewals succeeded
|
||||
Prometheus : CertificatExpireBientot:ok, CertificatNonMesure:ok ; jours restants : 90.0
|
||||
```
|
||||
|
||||
Parcours complet par `https://syllabuslab.fr`, consoles en `wss://` :
|
||||
|
||||
```
|
||||
1. Admission → invite de connexion : 4.35 s (OK, critère < 5 s)
|
||||
2. Sans routage activé : « Pas encore réussi » 6/10, avec les messages du lab
|
||||
3. Routage activé : « Réussi » 10/10
|
||||
```
|
||||
|
||||
- Ports : depuis Internet, seuls 22, 80 et 443 répondent pour le serveur ; les ports internes (Grafana, Prometheus, Kuma, API OpenStack, proxy console, MariaDB, Redis) sont tous filtrés.
|
||||
- VM d'élèves : aucune IP flottante, aucun routeur Neutron dans le projet ; depuis `pc-a`, Internet et l'hôte sont injoignables (« Network is unreachable »).
|
||||
|
||||
**Comprendre**
|
||||
|
||||
HTTPS ne se résume pas au cadenas : le certificat prouve l'identité du site, HSTS interdit au navigateur de revenir en HTTP, et la CSP décide quels scripts ont le droit de s'exécuter. Cette dernière est la vraie protection contre l'injection de code : même si un prénom piégé arrivait dans une page, le navigateur refuserait de l'exécuter faute du nonce, ce jeton aléatoire que seul le serveur connaît pour chaque page. La faille trouvée dans la page de classe montre pourquoi : l'échappement de Blade protège le HTML, mais pas du JavaScript placé dans un attribut — deux langages imbriqués, deux règles d'échappement. Enfin, le renouvellement automatique n'est fiable que s'il est surveillé : d'où l'alerte Prometheus, puisque plus personne n'enverra d'e-mail avant l'expiration.
|
||||
|
||||
**Suite**
|
||||
|
||||
- Adam : enregistrement DNS `status`, page de statut `syllabus` dans Kuma, sonde du portail passée en `https://syllabuslab.fr`, parcours manuel dans un navigateur (pour la CSP).
|
||||
- Étape 13 : tests de capacité et de résistance.
|
||||
|
|
|
|||
Loading…
Add table
Add a link
Reference in a new issue