Ahhh, je préfère largement ça !
Ma clé DH Param vient de terminer - elle aura mis près de 4 heures pour être générée ! pfff
“Stay tuned!” Je vérifie ma config, et on va tester la conn https !
j’ai toujours un timeout 
le premier lien ne fonctionne pas, essai le second ou ajoute un slash à la fin.
http://stephane-huc.net/.well-known/
Ouais, j’ai apparemment un problème, j’ai un tas de petit malin qui m’envoie des gets dans la goule !
Ouais, non la fatigue n’aide pas à y voir clair … tsss …
Ça, c’est plutôt, si je ne me trompe pas, apt-mirror ! tsss
Va falloir que je trouve le moyen de limiter son action, car il me plombe les ressources CPU. grrrr
Pour info, je sais pas si tu t’en es finalement sorti, mais je suis passé à Let’s Encrypt récemment et j’avais donné ma marche à suivre (qui me semble plus simple que la tienne ?) à Ricardo, ici. Si ça peut aider ;-).
Merci seb-ksl.
Je regarderais ça dès que possible. Vraiment pas assez dormi, moi. tsss
Mais, bon le serveur tourne ! 
Avec redirection vers HTTPS active.
Booo : https://www.ssllabs.com/ssltest/analyze.html?d=stephane-huc.net
Assessment failed: Unable to connect to the server
Que ça me lourde !
Pourquoi il n’arrive pas à se connecter ssllabs ?
Qu’est-ce qui peut l’en empêcher ?
Je te remercie.
J’ai modifié pour faire “joujou” en mode Intermediate ou Modern.
En mode intermediate, je me connecte avec FF (v45.0) ou Opera (v12.16) sous Linux
En mode modern, seul FF se connecte !
Bien, déjà, ça semble bon.
Bascule de HTTP vers HTTPS : ok!
J’ai enfin eu le droit à un zoli “A+” !!! 
1 J'aime
Voilà ce que j’utilise chez moi :
(Ça permet d’avoir un maximum de navigateurs et OS supportés sans trop perdre en sécurité)
ssl_certificate /etc/letsencrypt/live/noobunbox.net/fullchain.pem;
ssl_certificate_key /etc/letsencrypt/live/noobunbox.net/privkey.pem;
ssl_protocols TLSv1 TLSv1.1 TLSv1.2; ssl_ciphers “ECDHE-RSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-SHA256:ECDHE-RSA-AES128-SHA:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-SHA384:ECDHE-RSA-AES256-SHA”;
ssl_prefer_server_ciphers on;
ssl_ecdh_curve secp384r1;ssl_session_timeout 1d;
ssl_session_cache shared:SSL:50m;
ssl_buffer_size 8k;
ssl_session_tickets off;
add_header Strict-Transport-Security “max-age=31536000; includeSubDomains; preload”;
ssl_stapling on;
ssl_stapling_verify on;
ssl_trusted_certificate /etc/letsencrypt/live/noobunbox.net/chain.pem;
resolver 8.8.8.8 8.8.4.4 valid=300s;
resolver_timeout 5s;
Par contre commente la ligne suivante si tu n’utilises pas HTTPS sur tout tes sous-domaines. Ca risque de les rendre inaccessibles sinon
add_header Strict-Transport-Security “max-age=31536000; includeSubDomains; preload”;
Là, sur ce coup, je te remercie … en effet, mon blog est revenu ! _[quote=“Novakin, post:16, topic:68791”]
resolver_timeout 5s;
[/quote]
Ahhh, le coup du symbole ‘_’ et non pas ‘-’ … je comprends mieux pourquoi il ne reconnaissait pas cette option - bon, perso, j’ai mis à 3s
Et, resolver sur 127.0.0.1.
Je n’ai pas paramétré cette option, l’ayant vu dans un fichier de config, mais comme je ne me suis pas encore renseignée dessus … pas fait
En gros ça te permet de mieux sécuriser l’échange de clé ECDH.
Sur ton test https://www.ssllabs.com/ssltest/analyze.html?d=stephane-huc.net on voit que tu utilises
une clef ECDH secp256r1
Ok,
Tiens, par contre, mon serveur nginx me sort ça :
$ sudo nginx -t
nginx: [warn] "ssl_stapling" ignored, host not found in OCSP responder "ocsp.int-x1.letsencrypt.org/"Étonnant ? non ?
Ca doit venir de la
Change l’IP du resolver, si tu ne veux pas utiliser les DNS de google tu peux utiliser OpenNIC ou FDN
Non, pareil :
resolver 80.67.169.12 80.67.169.40 142.4.204.111 142.4.205.47 valid=300s;
resolver_timeout 3s;
Et, j’ai le même message d’erreur !
à cause d’une limite de messages par jour pour les nouveaux membres j’ai du continuer cette discussion avec PengouinPdt par email.
Je me permets de poster la solution trouvée.
Pour que l’OSCP Stapling fonctionne il faut bien ajouter une ligne
ssl_trusted_certificate /etc/letsencrypt/live/votre-domaine.tld/chain.pem;
Après vérification à nouveau ce matin, ça marche en effet … entre temps, rien changé de plus !
Mais bon, le ssl trusted certificate y était mais configuré sur la fullchain …
ca semble être une erreur relayé sur certains tutos, ou une erreur de compréhension.
ssl_trusted_certificat doit pointer sur les certificats intermédiaires de l’autorité de certification utilisée pour générer les certificats
avec let’s encrypt ces informations sont contenus dans chain.pem
Liens intéressants sur le sujet :
- Comparaison et tests de 10 clients alternatifs pour Let’s Encrypt
- Tutoriel (en français) sur la mise en place de Let’s Encrypt avec acme-tiny
Ça peut toujours servir. 
1 J'aime