# 0. Installation Open-Prod

Procédures internes pour l'installation d'Open-Prod

# Sécuriser votre installation avec HTTPS

Importance de la sécurisation https pour Open-Prod et procédures de mise en oeuvre

# 0. HTTPS et les types de certificats

![image-1664286931939.png](https://docs.myfab.fr/uploads/images/gallery/2022-09/scaled-1680-/image-1664286931939.png)

Par défaut, votre installation d'Open-Prod 10 est disponible sur le port **8069** (8068 pour Open-Prod 9). Si votre installation est prévue pour un accès public, ou pour être déployée dans un environnement sensible, il est fortement recommandé de sécuriser son accès web avec le protocole HTTPS (HTTP + TLS/SSL). C'est ce protocole qui vous permet de garantir des échanges de données sécurisés entre les utilisateurs et votre serveur, en les chiffrant via un échange de clés et des informations de certificat. De cette manière les données échangées ne peuvent être ni lues, ni altérées par un tiers pendant leur transit sur le réseau.

<p class="callout warning">Si vous souhaitez utiliser Open-Prod sur un terminal mobile (Zebra, Android, iOS, etc.) en version PWA (Progressive Web Apps), **l'utilisation d'HTTPS est obligatoire**.</p>


##### **Rappel :**

L'utilisation d'HTTPS repose sur l'échange d'un certificat entre le serveur et le client. Ce certificat contient notamment une clé publique et des informations sur l’identité du serveur, afin de garantir son authenticité. Chaque certificat doit être signé par une autorité de certification, qui peut être votre serveur, un serveur de votre infrastructure (AD CS), ou une entité externe comme Let's Encrypt, Sectigo, Digicert, etc. Il existe donc deux grands types de certificats :

1. Auto-signés : Le certificat est signé par une autorité de certification interne de confiance *(fourni par défaut par 1Life)*
2. Signés : Vous signez le certificat par une entité externe de confiance

##### 1. Certificats auto-signés

Un certificat auto-signé est gratuit. Aucune étape intermédiaire est nécessaire pour qu'il soit valide. Cependant pour que le client puisse valider l'authenticité du serveur, le certificat auto-signé doit être également déployé sur les postes client. Vous avez donc pour ce type de certificat, un déploiement en deux temps, automatisé ou manuel :

1. Génération de la paire de clés, génération du certificat et signature par la CA
2. Déploiement du certificat sur les postes clients, manuellement, via GPO ou via un AD CS local

<p class="callout info">Le déploiement du certificat sur les postes clients vous permet aussi de vous affranchir de l'alerte de sécurité sur votre navigateur :![image.png](https://docs.myfab.fr/uploads/images/gallery/2026-06/scaled-1680-/jAtimage.png)</p>

<p class="callout warning">Par défaut, Open-Prod est livré avec un certificat auto-signé d'une durée de validité de 10 ans. Ce certificat est présenté aux clients par Nginx, configuré en reverse proxy et installé automatiquement lors du déploiement.</p>

##### 2. Certificats signés

Un certificat signé est considéré en tant que tel lorsqu'il est signé par un organisme externe **publiquement reconnu**. Il est gratuit ou payant en fonction de l'autorité de certification choisie (CA : Certificate Authority).

Si vous optez pour le choix payant, vous devrez acheter votre certificat auprès d'un registrar ou d'un fournisseur tiers. En fonction du registrar ou du fournisseur tiers, vous serez soumis à une DCV (Domain Control Validation) qui nécessite l'exposition d'une de ces ressources les plus fréquentes :

- Enregistrement DNS public (TXT, CNAME)
- URL accessible publiquement
- Adresse mail de validation
- Numéro de téléphone de votre société

Vous devrez également avoir une requête de signature de certificat (CSR) déjà prête pour pouvoir entamer vos démarches.

<p class="callout success">1Life vous simplifie la génération d'une CSR en mettant à disposition l'outil **MyHelp** et sa commande **`https-config`**</p>

Si vous optez pour le choix gratuit, comme Let's Encrypt ou ZeroSSL, vous serez également soumis à une DCV qui nécessite une URL accessible publiquement par l'API de l'autorité de certification. Pour un accès à votre installation d'Open-Prod via un nom de domaine (Exemple : https://openprod.masociété.com) vous devrez en amont avoir un enregistrement DNS sur votre domaine local.

##### 3. Configuration

La sécurisation de votre environnement avec HTTPS est simplifié grâce à l'outil MyHelp. Sa commande `<strong>https-config</strong>` couvre chacun des cas de figure évoqués précédemment (auto-signé, certificat signé gratuit ou payant). Vous trouverez les détails de son utilisation dans les pages de cette catégorie.

<p class="callout info">Cette commande est applicable aussi bien sur Open-Prod 9 qu'Open-Prod 10</p>

 Les équipes du support technique 1Life sont également là pour vous accompagner si besoin au travers de votre contrat de TMA.

##### 4. Récapitulatif des différents modes de certification

<table border="1" id="bkmrk-type-de-certificat-a" style="border-collapse: collapse; width: 100%; height: 118.4px; border: 1px solid rgb(0, 0, 0);"><colgroup><col style="width: 22.8789%;"></col><col style="width: 12.6311%;"></col><col style="width: 13.7035%;"></col><col style="width: 14.1802%;"></col><col style="width: 29.5506%;"></col><col style="width: 6.91271%;"></col></colgroup><tbody><tr style="height: 29.6px;"><td class="align-center" style="height: 29.6px; border-color: rgb(0, 0, 0);">**Type de certificat**</td><td class="align-center" style="height: 29.6px; border-color: rgb(0, 0, 0);">**Coût**</td><td class="align-center" style="height: 29.6px; border-color: rgb(0, 0, 0);">**Validité**</td><td class="align-center" style="height: 29.6px; border-color: rgb(0, 0, 0);">**Accès public**</td><td class="align-center" style="height: 29.6px; border-color: rgb(0, 0, 0);">**Déploiement sur les postes clients**</td><td class="align-center" style="border-color: rgb(0, 0, 0);">**DCV**</td></tr><tr style="height: 29.6px;"><td style="height: 29.6px; border-color: rgb(0, 0, 0);">Autosigné</td><td class="align-center" style="height: 29.6px; border-color: rgb(0, 0, 0);">Gratuit ✔️</td><td class="align-center" style="height: 29.6px; border-color: rgb(0, 0, 0);">Étendue

</td><td class="align-center" style="height: 29.6px; border-color: rgb(0, 0, 0);">❌</td><td class="align-center" style="height: 29.6px; border-color: rgb(0, 0, 0);">✔️</td><td class="align-center" style="border-color: rgb(0, 0, 0);">❌</td></tr><tr style="height: 29.6px;"><td style="height: 29.6px; border-color: rgb(0, 0, 0);">Signé - Gratuit</td><td class="align-center" style="height: 29.6px; border-color: rgb(0, 0, 0);">Gratuit ✔️</td><td class="align-center" style="height: 29.6px; border-color: rgb(0, 0, 0);">45 à 90 jours

</td><td class="align-center" style="height: 29.6px; border-color: rgb(0, 0, 0);">✔️

</td><td class="align-center" style="height: 29.6px; border-color: rgb(0, 0, 0);">❌

</td><td class="align-center" style="border-color: rgb(0, 0, 0);">✔️

</td></tr><tr style="height: 29.6px;"><td style="height: 29.6px; border-color: rgb(0, 0, 0);">Signé - Payant</td><td class="align-center" style="height: 29.6px; border-color: rgb(0, 0, 0);">Payant ⚠️</td><td class="align-center" style="height: 29.6px; border-color: rgb(0, 0, 0);">1 à 3 ans

</td><td class="align-center" style="height: 29.6px; border-color: rgb(0, 0, 0);">✔️

</td><td class="align-center" style="height: 29.6px; border-color: rgb(0, 0, 0);">❌

</td><td class="align-center" style="border-color: rgb(0, 0, 0);">✔️

</td></tr></tbody></table>

# 1. HTTPS avec certificat auto-signé

Dans cette section, vous verrez comment installer pas à pas un certificat autosigné grâce à l'outil MyHelp en ligne de commande. Vous devrez au préalable :

- Intégrer le serveur Open-Prod dans son réseau interne en s’assurant de la bonne résolution du nom de la machine sur son réseau local (nom de machine fixée et IP statique en place, DNS fonctionnel)
- Vérifier que le serveur Open-Prod n’est pas en production lors de la procédure. Prévoir également de communiquer la nouvelle URL de connexion à l’ensemble des utilisateurs une fois la procédure terminée.

##### Présentation :

La commande `<strong>https-config</strong>` de l'outil MyHelp intègre les fonctionnalités suivantes :

- Installer Nginx en Reverse Proxy sur le port 443 (HTTPS)
- Générer un certificat autosigné
- Générer une CSR
- Importer un certificat signé
- Configurer Nginx : 
    - Changer le chemin d'accès du certificat utilisé
    - Changer le chemin d'accès de la clé privée utilisée
    - Editer le fichier de configuration en direct
- Partager le certificat autosigné ou la CSR (dossier local / partagé)
- Supprimer l'installation de Nginx et les fichiers générés

<p class="callout danger">**Attention :** si vous utilisez le service Apache (pour l’outil pgadmin version web par exemple) l'installation va <u>désactiver Apache</u>. En effet Nginx est incompatible avec la présence du service Apache sur le même port d'écoute (TCP : 443). Vous pouvez remplacer le service pgadmin web par son utilisation via un client distant.</p>

##### Etape 1 - Installation d'Nginx :

[![image.png](https://docs.myfab.fr/uploads/images/gallery/2026-05/scaled-1680-/image.png)](https://docs.myfab.fr/uploads/images/gallery/2026-05/image.png)

Lancer la commande **`https-config`**. Le script vérifie la présence ou non d'Apache et Nginx pour préparer le déploiement. Sélectionner l’option 2 pour lancer l’installation et configurer le certificat auto-signé. Une fois l'installation d'Nginx terminée, vous obtiendrez les modes de certification suivants :

[![image.png](https://docs.myfab.fr/uploads/images/gallery/2026-05/scaled-1680-/CYvimage.png)](https://docs.myfab.fr/uploads/images/gallery/2026-05/CYvimage.png)

Utiliser la première option et répondre aux questions sur les caractéristiques du certificat auto-signé :

- Common Name (CN) : voir ci-dessous la valeur SAN. Par défaut mettre ou laisser la même valeur que le champ SAN (normalement le SAN est prioritaire)
- Subject Alternative Name (SAN) : mettre obligatoirement le nom réseau de cette machine sur le domaine ainsi que son adresse IP fixe. Ces informations sont essentielles pour intégrer manuellement ou via GPO le certificat sur chaque poste (Si besoin, modifier ces informations en utilisant la syntaxe précise : DNS:\[nom environnement\], IP:\[adresse IP environnement\],
- Organisation (O) : par défaut laisser Open-Prod (pas d’impact de ce paramètre sur le fonctionnement du https),
- Champs optionnels (OU, L, ST, C) : par défaut laisser vide (pas d’impact de ce paramètre sur le fonctionnement du https).

NOTA : Les champs O, OU, L, ST, C sont surtout utilisés dans les **certificats EV/OV** ou en interne (**PKI entreprise**). Ils ne sont normalement pas importants pour un simple certificat auto-signé.

Confirmer ensuite la génération du certificat par Oui en tapant `o` :

[![image.png](https://docs.myfab.fr/uploads/images/gallery/2026-05/scaled-1680-/K25image.png)](https://docs.myfab.fr/uploads/images/gallery/2026-05/K25image.png)

Choisir ensuite d’exporter le certificat dans un dossier local au serveur Linux avec partage Windows (ou non) de ce dossier. Le certificat peut ainsi être récupéré directement via le voisinage réseau depuis son poste Windows si le dossier est partagé. Sinon il est toujours possible de le récupérer depuis son navigateur après s’être connecté en Https sur le serveur Open-Prod (voir § suivant sur l'installation du certificat client).

Indiquer le chemin et nom du dossier de stockage du certificat, le nom de partage du dossier si besoin, sinon laisser par défaut.

Indiquer l’utilisateur autorisé à se connecter s’il y a un partage réseau du dossier (laisser sinon par défaut l’utilisateur connecté).

Indiquer le mot de passe pour accéder à ce partage réseau (obligatoire si le dossier est partagé). Nota : ce mot de passe est propre au partage réseau. Il n’est pas lié au mot de passe de session du compte utilisé.

[![image.png](https://docs.myfab.fr/uploads/images/gallery/2026-05/scaled-1680-/MDbimage.png)](https://docs.myfab.fr/uploads/images/gallery/2026-05/MDbimage.png)

L’installation du Https pour Open-Prod en certificat auto-signé est maintenant terminée. Le service est disponible en se connectant sur [https://\[nom\_de\_machine\_ou\_IP](https://%5Bnom_de_machine_ou_IP)\] au lieu de [http://\[nom\_de\_machine\_ou\_IP:806(8/9)](http://%5Bnom_de_machine_ou_IP:806(8).

<p class="callout info">SI jamais le processus ne va pas jusqu'au bout, sortir de la commande en cours (Ctrl + C). Relancer le script `<strong>https-config</strong>`. Une nouvelle option N°4 doit apparaitre et permet de désinstaller complètement Nginx, les composants associés et le certificat. Relancer ensuite une nouvelle installation avec l'option N° 2 en suivant à nouveau les instructions ci-dessus. </p>

[![image.png](https://docs.myfab.fr/uploads/images/gallery/2026-05/scaled-1680-/uVgimage.png)](https://docs.myfab.fr/uploads/images/gallery/2026-05/uVgimage.png)

##### *Etape 3 :*  


Par défaut l’accès Https est maintenant disponible pour tous les utilisateurs. La connexion à Open-Prod affiche une alerte de sécurité dans le navigateur pour indiquer à l'utilisateur que le certificat installé est propre à une structure interne de votre réseau et ne peut pas être reconnu par une autorité de certification externe (serveur de certification sur le web).

[![image.png](https://docs.myfab.fr/uploads/images/gallery/2026-05/scaled-1680-/tVzimage.png)](https://docs.myfab.fr/uploads/images/gallery/2026-05/tVzimage.png)

Cliquer dans votre navigateur sur « Paramètre avancé » puis sur « Continuer vers \[nom\_de\_votre\_environnement\] (non sécurisé). L’accès est maintenant sécurisé au travers de https et tous les flux d’échange est crypté.

<p class="callout warning">Obligatoire : pour finaliser le déploiement du https et terminer la sécurisation de l’accès au service vous devez interdire l’accès au service Open-Prod au travers du service http sur les url [http://\[nom\_de\_machine\_ou\_ip\]:8068](http://%5Bnom_de_machine_ou_ip%5D:8068) pour la V9 ou [http://\[nom\_de\_machine\_ou\_ip\]:8069](http://%5Bnom_de_machine_ou_ip%5D:8069) pour la V10. Cette interdiction est à faire directement sur le boitier de sécurité réseau d’entreprise ou par filtrage d’URL directement sur l’environnement Linux (ufw par exemple) ou les services réseau de votre hyperviseur (cas d’une machine virtuelle locale ou hébergée). Consulter votre administrateur système pour cette mise oeuvre.</p>

##### *Etape 4 :*

*Suppression de l’alerte de sécurité dans le navigateur par intégration manuelle du certificact*

<p class="callout warning">Les opérations décrites ci-dessous sont présentées à titre informatif. Se rapprocher de son adminsutrateur système et réseau pour en adapter leur mise en oeuvre aux caractéristiques du système et réseau de chaque entreprise. </p>

Si on ne souhaite pas visualiser l’alerte de sécurité dans le navigateur il faut installer le certificat https auto-signé manuellement ou automatiquement (via automatisme PGO d’un domaine Windows par exemple) sur chaque poste client qui utilise Open-Prod.

Pour cela, récupérer le certificat auto-signé sur le serveur Open-Prod :

- Via le protocol SCP (Secure Copy Protocol) par exemple si le certificat est dans le dossier du serveur Linux et qu’aucun partage réseau n’a été créé.
- Via le dossier partagé créé lors de la génération du certificat. Utiliser depuis un poste Windows le voisinage réseau pour se connecter sur le serveur Open-Prod (via son IP ou son nom sur le domaine). S’identifier ensuite avec le user / password de partage réseau créé lors de la génération du certificat pour accéder au répertoir de stockage.

[![image.png](https://docs.myfab.fr/uploads/images/gallery/2026-05/scaled-1680-/JDuimage.png)](https://docs.myfab.fr/uploads/images/gallery/2026-05/JDuimage.png)

[![image.png](https://docs.myfab.fr/uploads/images/gallery/2026-05/scaled-1680-/9oCimage.png)](https://docs.myfab.fr/uploads/images/gallery/2026-05/9oCimage.png)Récupérer sur son poste le certificat créé dans le répertoire sous le nom définit lors de sa génération (par défaut dans le dossier « certificates » avec le nom « deploy.crt »).

- Sinon via le navigateur Web, en se connectant depuis n'importe quel poste client sur Open-Prod par l’url https [https://\[nom\_de\_machine\_ou\_IP](https://%5Bnom_de_machine_ou_IP)\].

[![image.png](https://docs.myfab.fr/uploads/images/gallery/2026-05/scaled-1680-/52oimage.png)](https://docs.myfab.fr/uploads/images/gallery/2026-05/52oimage.png)Trouver comment visualiser le certificat sur son navigateur, afficher les détails du certificat (options à trouver selon votre navigateur).

[![image.png](https://docs.myfab.fr/uploads/images/gallery/2026-05/scaled-1680-/1ZLimage.png)](https://docs.myfab.fr/uploads/images/gallery/2026-05/1ZLimage.png)Cliquer sur « Exporter » pour récupérer le certificat en local sur votre poste (options à trouver selon votre navigateur).

Installer maintenant le certificat sur son poste dans en l’important dans le magasin des certificats :

[![image.png](https://docs.myfab.fr/uploads/images/gallery/2026-05/scaled-1680-/veDimage.png)](https://docs.myfab.fr/uploads/images/gallery/2026-05/veDimage.png)Double cliquer sur le certificat récupéré.

[![image.png](https://docs.myfab.fr/uploads/images/gallery/2026-05/scaled-1680-/mubimage.png)](https://docs.myfab.fr/uploads/images/gallery/2026-05/mubimage.png)

Vérifier dans l’onglet « détails » que la valeur « Autre nom de l’objet » correspond bien aux valeurs SAN saisies lors de sa génération et au vrai nom et IP de la machine sur votre réseau local. Si ce n’est pas le cas recommencer sr l’environnement Linux Open-Prod la création d’un nouveau certificat.

[![image.png](https://docs.myfab.fr/uploads/images/gallery/2026-05/scaled-1680-/Y3Fimage.png)](https://docs.myfab.fr/uploads/images/gallery/2026-05/Y3Fimage.png)Si les valeurs sont correctes, revenir sur l’onglet Général » et sélectionner « Installer un certificat ».

[![image.png](https://docs.myfab.fr/uploads/images/gallery/2026-05/scaled-1680-/U1ximage.png)](https://docs.myfab.fr/uploads/images/gallery/2026-05/U1ximage.png)

Sélectionner « Utilisateur actuel » et « suivant »

[![image.png](https://docs.myfab.fr/uploads/images/gallery/2026-05/scaled-1680-/oYaimage.png)](https://docs.myfab.fr/uploads/images/gallery/2026-05/oYaimage.png)

Choisir « Placer tous les certificats dans le magasin suivant » et sélectionner « Autorités de certification racines de confiance » puis « suivant » et « terminer ». Confirmer par « Oui » l’alerte de sécurité pour finaliser l’installation du certificat. Le message « importation réussie » doit s’afficher.

[![image.png](https://docs.myfab.fr/uploads/images/gallery/2026-05/scaled-1680-/eLuimage.png)](https://docs.myfab.fr/uploads/images/gallery/2026-05/eLuimage.png)

Suite à cette intégration de certificat l’accès à Open-Prod via le navigateur au travers du nom de la machine ou de son ip ([https://srvopp-jlv9t01](https://srvopp-jlv9t01) ou [https://192.168.70.67](https://192.168.70.67) dans notre exemple) ne doit plus lever d’alerte de sécurité sur ce poste.

<p class="callout info">Répéter manuellement cette manipulation sur le poste de chaque utilisateur qui accède à Open-Prod via son navigateur.</p>

<p class="callout warning">**Déployer automatiquement ce certificat sur tous les postes du réseau interne de l’entreprise.** Il est envisageable de déployer automatiquement ce certificat sur tous les postes de l’entreprise et d’éviter l’intégration manuelle sur chaque poste (au travers de la gestion des GPO sous Windows Active Directory par exemple). Contacter votre administrateur système pour étudier avec lui cette mise en place.</p>

# 2. Https avec certificat signé

Contacter les équipes support 1life pour valider les aspects techniques de cette mise en place.

Utiliser les fonctions myhelp **`https-config`** pour dployer NGINX, récupérer le fichier CSR. Une fois le certificat obtenu utiliser la fonction **`https-config`** pour installer le certificat.

Procédure détaillée en cours de réalisation.

# 3. Https avec certificat signé gratuit

Cette configuration n'est pas conseillée sauf si vous ou votre prestaire informatique maitrisez l'utilisation sou Linux des composantes pour la gestion d'un certificat **Let's Encrypt** (Let's Encrypt est une autorité de certification (CA) gratuite qui délivre des certificats SSL/TLS permettant d'activer le HTTPS sur un site web.

La gestion d’un certificat **HTTPS Let's Encrypt** est généralement **automatisée** :

<div id="bkmrk-demande-du-certifica">1. **Demande du certificat** auprès de Let's Encrypt via un client (ex. **Certbot**, **acme.sh**, **Caddy**, **Traefik**).
2. **Validation du domaine** (challenge ACME HTTP-01, DNS-01 ou TLS-ALPN-01).
3. **Installation du certificat** sur le serveur web (Nginx, Apache, IIS, proxy, etc.). Utiliser le service
4. **Renouvellement automatique** tous les 60 à 90 jours (Let's Encrypt délivre des certificats valides 90 jours).
5. **Rechargement du service web** après renouvellement pour prendre en compte le nouveau certificat.
6. **Supervision** de l’expiration et des éventuelles erreurs de renouvellement.

</div>En résumé : un agent ACME installé sur le serveur obtient, renouvelle et déploie automatiquement le certificat Let's Encrypt sans intervention manuelle.

L'esnemble de cette mise en oeuvre est sous la responsabilité du client ou de son prestataire.

# Ouvrir vers l'exterieur l'accès à Open-Prod

#### **<span lang="en-us">1. Principe général</span>**

<span lang="en-us">L’objectif est de permettre à des utilisateurs autorisés d’accéder à Open-Prod depuis Internet, tout en conservant le serveur de production dans le réseau interne de l’entreprise. Le client, ou son prestataire informatique, choisit l’architecture adaptée à son contexte et met en place les composants réseau et sécurité nécessaires.</span>

**<span lang="en-us" style="color:#1f4e79;">Message clé à retenir</span>**

<p class="callout info"><span lang="en-us"><span lang="en-us" style="font-size:10pt;line-height:107%;font-family:Aptos, sans-serif;">Open-Prod ne doit pas nécessairement être directement exposé sur Internet. Dans la majorité des cas, l’accès passe par des équipements intermédiaires : pare-feu, NAT, reverse proxy, VPN ou service de sécurité équivalent.</span></span></p>

<p class="callout warning">**<span lang="en-us"><span lang="en-us" style="font-size:10pt;line-height:107%;font-family:Aptos, sans-serif;">Le client mettra en place les mécanismes nécessaires, notamment DNS, routage, pare-feu, NAT, reverse proxy, VPN ou tout dispositif équivalent, afin de permettre un accès sécurisé depuis Internet au serveur Open-Prod de production hébergé sur son réseau interne. La configuration et la sécurisation de ce chemin d’accès relèvent de la responsabilité du client ou de son prestataire informatique. L’équipe 1Life pourra intervenir pour assister à la validation applicative une fois les accès réseau opérationnels.</span></span>**</p>


#### **<span lang="en-us">2. </span><span lang="en-us">Choisir le scénario d’accès adapté</span>**

<div id="bkmrk-sc%C3%A9nario-principe-ca" style="text-align:center;"><table class="MsoTableGrid" style="border-collapse:collapse;height:455.406px;width:96.0714%;border:medium none;"><tbody><tr style="height:47.9062px;"><td style="width:24.9384%;border:1pt solid;background:rgb(31,78,121);padding:5pt;height:47.9062px;">**<span lang="en-us" style="font-size:8.5pt;line-height:107%;color:#FFFFFF;">Scénario</span>**

</td><td style="width:18.8589%;border-width:1pt 1pt 1pt medium;border-style:solid solid solid none;background:rgb(31,78,121);padding:5pt;height:47.9062px;">**<span lang="en-us" style="font-size:8.5pt;line-height:107%;color:#FFFFFF;">Principe</span>**

</td><td style="width:14.0201%;border-width:1pt 1pt 1pt medium;border-style:solid solid solid none;background:rgb(31,78,121);padding:5pt;height:47.9062px;">**<span lang="en-us" style="font-size:8.5pt;line-height:107%;color:#FFFFFF;">Cas d’usage typique</span>**

</td><td style="width:42.1844%;border-width:1pt 1pt 1pt medium;border-style:solid solid solid none;background:rgb(31,78,121);padding:5pt;height:47.9062px;">**<span lang="en-us" style="font-size:8.5pt;line-height:107%;color:#FFFFFF;">Niveau de sécurité</span>**

</td></tr><tr style="height:98.2969px;"><td style="width:24.9384%;border-width:medium 1pt 1pt;border-style:none solid solid;padding:5pt;height:98.2969px;">**<span lang="en-us" style="font-size:8pt;line-height:107%;">Accès direct HTTPS</span>**

</td><td style="width:18.8589%;border-width:medium 1pt 1pt medium;border-style:none solid solid none;padding:5pt;height:98.2969px;"><span lang="en-us" style="font-size:8pt;line-height:107%;">Le pare-feu redirige le flux HTTPS vers le serveur ou le service exposé.</span>

</td><td style="width:14.0201%;border-width:medium 1pt 1pt medium;border-style:none solid solid none;padding:5pt;height:98.2969px;"><span lang="en-us" style="font-size:8pt;line-height:107%;">Petite structure, architecture simple, faible nombre d’utilisateurs externes.</span>

</td><td style="width:42.1844%;border-width:medium 1pt 1pt medium;border-style:none solid solid none;padding:5pt;height:98.2969px;"><span lang="en-us" style="font-size:8pt;line-height:107%;">Sécurité à </span><span lang="en-us" style="font-size:8pt;line-height:107%;">maîtriser, faible coût de mise en oeuvre. A utiliser obligatoirement si un service externe doit accéder de manière permanente à des ressources Open-Prod (Services de RFE, lien vers des services M365, etc.).</span>

</td></tr><tr style="height:81.5px;"><td style="width:24.9384%;border-width:medium 1pt 1pt;border-style:none solid solid;padding:5pt;height:81.5px;">**<span lang="en-us" style="font-size:8pt;line-height:107%;">VPN</span>**

</td><td style="width:18.8589%;border-width:medium 1pt 1pt medium;border-style:none solid solid none;padding:5pt;height:81.5px;"><span lang="en-us" style="font-size:8pt;line-height:107%;">Les utilisateurs se connectent d’abord au réseau interne via VPN.</span>

</td><td style="width:14.0201%;border-width:medium 1pt 1pt medium;border-style:none solid solid none;padding:5pt;height:81.5px;"><span lang="en-us" style="font-size:8pt;line-height:107%;">Cas recommandé pour la majorité des entreprises.</span>

</td><td style="width:42.1844%;border-width:medium 1pt 1pt medium;border-style:none solid solid none;padding:5pt;height:81.5px;"><span lang="en-us" style="font-size:8pt;line-height:107%;">Permet de garantir une protection importante des accès externes et une authentification forte des utilisateurs en mobilité ou en connexion de sites à sites.</span>

</td></tr><tr style="height:81.5px;"><td style="width:24.9384%;border-width:medium 1pt 1pt;border-style:none solid solid;padding:5pt;height:81.5px;">**<span lang="en-us" style="font-size:8pt;line-height:107%;">Reverse proxy</span>**

</td><td style="width:18.8589%;border-width:medium 1pt 1pt medium;border-style:none solid solid none;padding:5pt;height:81.5px;"><span lang="en-us" style="font-size:8pt;line-height:107%;">Un serveur intermédiaire reçoit les connexions Internet et relaie vers Open-Prod.</span>

</td><td style="width:14.0201%;border-width:medium 1pt 1pt medium;border-style:none solid solid none;padding:5pt;height:81.5px;"><span lang="en-us" style="font-size:8pt;line-height:107%;">Cas recommandé pour la majorité des entreprises.</span>

</td><td style="width:42.1844%;border-width:medium 1pt 1pt medium;border-style:none solid solid none;padding:5pt;height:81.5px;"><span lang="en-us" style="font-size:8pt;line-height:107%;">Bon niveau de sécurité et meilleure maîtrise. Solution plus complexe à maitriser car elle repose souvent sur une couche réseau et une couche applicative sur le serveur Open-Prod.</span>

</td></tr><tr style="height:64.7031px;"><td style="width:24.9384%;border-width:medium 1pt 1pt;border-style:none solid solid;padding:5pt;height:64.7031px;">**<span lang="en-us" style="font-size:8pt;line-height:107%;">Reverse proxy + WAF</span>**

</td><td style="width:18.8589%;border-width:medium 1pt 1pt medium;border-style:none solid solid none;padding:5pt;height:64.7031px;"><span lang="en-us" style="font-size:8pt;line-height:107%;">Ajout d’un filtrage applicatif avancé devant le service publié.</span>

</td><td style="width:14.0201%;border-width:medium 1pt 1pt medium;border-style:none solid solid none;padding:5pt;height:64.7031px;"><span lang="en-us" style="font-size:8pt;line-height:107%;">Entreprise avec exigences de sécurité fortes.</span>

</td><td style="width:42.1844%;border-width:medium 1pt 1pt medium;border-style:none solid solid none;padding:5pt;height:64.7031px;"><span lang="en-us" style="font-size:8pt;line-height:107%;">Renforcé.</span>

</td></tr></tbody></table>

</div>
#### **<span lang="en-us">3. Démarches à réaliser pas à pas</span>**

##### **<span lang="en-us">Étape 1 - Identifier le serveur Open-Prod à publier</span>**

**<span lang="en-us">Responsable principal : </span>**<span lang="en-us">Client</span>

**<span lang="en-us">Actions à réaliser :</span>**

- <span lang="en-us" style="font-family:Symbol;"><span><span style="font:7pt 'Times New Roman';"> </span></span></span><span lang="en-us">Identifier le nom du serveur Open-Prod de production.</span>
- <span lang="en-us">Relever son adresse IP interne.</span>
- <span lang="en-us">Confirmer les ports applicatifs utilisés.</span>
- <span lang="en-us">Vérifier que l’application fonctionne depuis le réseau local.</span>

**<span lang="en-us">Livrable attendu : </span>**<span lang="en-us">Nom du serveur, adresse IP interne, ports utilisés.</span>


##### **<span lang="en-us">Étape 2 - Valider le besoin d’accès externe</span>**

**<span lang="en-us">Responsable principal : </span>**<span lang="en-us">Client / Métier / DSI</span>

**<span lang="en-us">Actions à réaliser :</span>**

- <span lang="en-us">Identifier les profils ou services qui doivent accéder à Open-Prod depuis l’extérieur.</span>
- <span lang="en-us">Déterminer si l’accès concerne des salariés, agences, fournisseurs, clients ou prestataires, des services Web externes.</span>
- <span lang="en-us">Définir si l’accès doit être permanent, ponctuel ou limité à certaines plages horaires.</span>

**<span lang="en-us">Livrable attendu : </span>**<span lang="en-us">Liste des utilisateurs ou populations ou services web concernées et règles d’accès attendues.</span>


##### **<span lang="en-us">Étape 3 - Choisir l’architecture d’exposition</span>**

**<span lang="en-us">Responsable principal : </span>**<span lang="en-us">Client / Prestataire informatique</span>

**<span lang="en-us">Actions à réaliser :</span>**

- <span lang="en-us">Choisir entre accès direct HTTPS, reverse proxy, VPN, WAF ou hébergement externe.</span>
- <span lang="en-us">Prendre en compte les contraintes de sécurité internes.</span>
- <span lang="en-us">Valider l’architecture avec le responsable informatique ou le prestataire réseau.</span>

**<span lang="en-us">Livrable attendu : </span>**<span lang="en-us">Schéma cible ou description de l’architecture retenue.</span>


##### **<span lang="en-us">Étape 4 - Vérifier la connectivité Internet entrante</span>**

**<span lang="en-us">Responsable principal : </span>**<span lang="en-us">Client / Opérateur télécom</span>

**<span lang="en-us">Actions à réaliser :</span>**

- <span lang="en-us">Vérifier la disponibilité d’une adresse IP publique fixe ou d’un mécanisme équivalent.</span>
- <span lang="en-us">S’assurer que l’opérateur autorise les connexions entrantes nécessaires.</span>
- <span lang="en-us">Vérifier que l’équipement réseau frontal est administrable.</span>

**<span lang="en-us">Livrable attendu : </span>**<span lang="en-us">Adresse IP publique ou information de publication équivalente.</span>

##### **<span lang="en-us">Étape 5 - Créer le nom DNS d’accès</span>**

**<span lang="en-us">Responsable principal : </span>**<span lang="en-us">Client / Gestionnaire DNS</span>

**<span lang="en-us">Actions à réaliser :</span>**

- <span lang="en-us">Créer un nom DNS dédié, par exemple openprod.masociete.fr.</span>
- <span lang="en-us">Faire pointer ce nom vers l’adresse publique ou le point d’entrée retenu.</span>
- <span lang="en-us">Vérifier la résolution DNS depuis Internet.</span>

**<span lang="en-us">Livrable attendu : </span>**<span lang="en-us">Nom DNS définitif communiqué aux utilisateurs.</span>


##### **<span lang="en-us">Étape 6 - Configurer le routage, le NAT et le pare-feu</span>**

**<span lang="en-us">Responsable principal : </span>**<span lang="en-us">Client / Prestataire réseau</span>

**<span lang="en-us">Actions à réaliser :</span>**

- <span lang="en-us">Créer les règles de pare-feu nécessaires.</span>
- <span lang="en-us">Mettre en place le NAT ou la redirection vers le reverse proxy ou le serveur cible.</span>
- <span lang="en-us">Limiter l’exposition aux seuls ports nécessaires.</span>
- <span lang="en-us">Activer ou conserver la journalisation des accès.</span>

**<span lang="en-us">Livrable attendu : </span>**<span lang="en-us">Flux réseau opérationnels et filtrés.</span>

##### **<span lang="en-us">Étape 7 - Mettre en place HTTPS et le certificat</span>**

**<span lang="en-us">Responsable principal : </span>**<span lang="en-us">Client / Prestataire informatique</span>

**<span lang="en-us">Actions à réaliser :</span>**

- <span lang="en-us">Obtenir ou générer un certificat SSL/TLS valide.</span>
- <span lang="en-us">[Installer le certificat sur le serveur Open-Prod](https://docs.myfab.fr/books/0-installation-open-prod/chapter/securiser-votre-installation-avec-https).</span>
- <span lang="en-us">Vérifier que l’accès se fait en HTTPS sans alerte navigateur.</span>

**<span lang="en-us">Livrable attendu : </span>**<span lang="en-us">URL HTTPS valide, par exemple https://openprod.masociete.fr.</span>


##### **<span lang="en-us">Étape 8 - Renforcer la sécurité</span>**

**<span lang="en-us">Responsable principal : </span>**<span lang="en-us">Client / DSI</span>

**<span lang="en-us">Actions à réaliser :</span>**

- <span lang="en-us">Restreindre les accès lorsque cela est possible par adresse IP, VPN, MFA ou règles spécifiques.</span>
- <span lang="en-us">Maintenir les composants exposés à jour.</span>
- <span lang="en-us">Surveiller les journaux d’accès.</span>
- <span lang="en-us">Prévoir une procédure de coupure rapide en cas d’incident.</span>

**<span lang="en-us">Livrable attendu : </span>**<span lang="en-us">Mesures de durcissement validées.</span>


##### **<span lang="en-us">Étape 9 - Réaliser les tests de validation</span>**

**<span lang="en-us">Responsable principal : </span>**<span lang="en-us">Client + équipe Open-Prod</span>

**<span lang="en-us">Actions à réaliser :</span>**

- <span lang="en-us">Tester l’accès depuis un réseau externe.</span>
- <span lang="en-us">Contrôler le certificat HTTPS.</span>
- <span lang="en-us">Vérifier la connexion à Open-Prod et les principales fonctions métier.</span>
- <span lang="en-us">Contrôler les performances et les journaux côté infrastructure.</span>

**<span lang="en-us">Livrable attendu : </span>**<span lang="en-us">Validation technique et fonctionnelle de l’accès externe.</span>

#### **<span lang="en-us">5. Check-list client avant sollicitation des équipes 1life</span>**

**<span lang="en-us">☐ </span>**<span lang="en-us">Le serveur Open-Prod de production est identifié.</span>

**<span lang="en-us">☐ </span>**<span lang="en-us">L’adresse IP interne et les ports applicatifs sont connus.</span>

**<span lang="en-us">☐ </span>**<span lang="en-us">L’accès Open-Prod fonctionne sur le réseau local.</span>

**<span lang="en-us">☐ </span>**<span lang="en-us">Le scénario d’accès externe est choisi : reverse proxy, VPN, WAF, NAT direct ou hébergement externe.</span>

**<span lang="en-us">☐ </span>**<span lang="en-us">Le nom DNS public est défini ou en cours de création.</span>

**<span lang="en-us">☐ </span>**<span lang="en-us">L’adresse IP publique ou le point d’entrée Internet est connu.</span>

**<span lang="en-us">☐ </span>**<span lang="en-us">Les règles de pare-feu et de NAT sont préparées ou planifiées.</span>

**<span lang="en-us">☐ </span>**<span lang="en-us">Le certificat SSL/TLS est prévu ou déjà disponible.</span>

**<span lang="en-us">☐ </span>**<span lang="en-us">Les exigences de sécurité internes sont validées par la DSI ou le prestataire informatique.</span>

#### **<span lang="en-us">7. Points de vigilance</span>**

<span lang="en-us">Ne pas exposer inutilement plusieurs ports : limiter l’accès au strict nécessaire. </span><span lang="en-us">Pour les écahnges depuis l'exterieur du réseau privilégier HTTPS avec certificat valide afin d’éviter les alertes navigateur et de chiffrer les échanges. </span><span lang="en-us">Éviter, lorsque cela est possible, l’exposition directe du serveur applicatif : préférer un reverse proxy, un VPN ou un dispositif contrôlé. </span><span lang="en-us">Prévoir une journalisation exploitable en cas d’incident ou d’audit. </span><span lang="en-us">Documenter précisément l’architecture retenue pour faciliter le support et les évolutions futures.</span>

#### **<span lang="en-us">8. Schéma de principe simplifié</span>**

<span lang="en-us">Internet  
<span> </span>|  
<span> </span>v  
Nom DNS public : openprod.monsociete.fr  
<span> </span>|  
<span> </span>v  
Adresse IP publique / point d’entrée client  
<span> </span>|  
<span> </span>v  
Pare-feu / NAT / Reverse proxy / VPN / WAF  
<span> </span>|  
<span> </span>v  
Serveur Open-Prod de production sur le réseau interne</span>

<div id="bkmrk-" style="text-align:center;"></div>