618cd7efbe
Certificat Let's Encrypt obtenu et renouvelé par certbot (authentificateur nginx), expiration surveillée par Prometheus. TLS selon Mozilla v6.0 intermediate, HSTS, CSP stricte avec nonce sur l'application et adaptée sur la vitrine, xterm.js servi par le portail. Page de statut prévue sur status.syllabuslab.fr, administration de Grafana et Kuma par tunnel seul. Corrige aussi une faille XSS dans la page de classe, la page /cours en erreur depuis l'étape 8, et NodeSource relancé à chaque déploiement. Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>
14 lines
916 B
Django/Jinja
14 lines
916 B
Django/Jinja
# Géré par Ansible (rôle portail). Mozilla SSL Configuration Guidelines v6.0,
|
|
# profil « intermediate » (vieux postes et Chromebooks compris), adapté :
|
|
# - pas de X25519MLKEM768 (OpenSSL 3.5 requis, Debian 12 a la 3.0) ;
|
|
# - pas d'OCSP stapling (Let's Encrypt ne fournit plus d'OCSP depuis 2025) ;
|
|
# - suites ECDHE uniquement : aucun paramètre Diffie-Hellman à générer.
|
|
ssl_certificate /etc/letsencrypt/live/{{ portail_domaine }}/fullchain.pem;
|
|
ssl_certificate_key /etc/letsencrypt/live/{{ portail_domaine }}/privkey.pem;
|
|
ssl_protocols TLSv1.2 TLSv1.3;
|
|
ssl_ecdh_curve X25519:prime256v1:secp384r1;
|
|
ssl_ciphers ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305;
|
|
ssl_prefer_server_ciphers off;
|
|
ssl_session_timeout 1d;
|
|
ssl_session_cache shared:SyllabusTLS:10m;
|
|
ssl_session_tickets off;
|