Certificat TLS

L'autorité privée créée par l'installateur, ou votre propre certificat : où déposer les fichiers, ce qui est vérifié, et comment renouveler.

Le portail n’est servi qu’en HTTPS, sur le nom AARVIEW_DOMAIN. Deux possibilités pour le certificat.

Par défaut : une autorité privée

Si traefik/tls/ ne contient pas de certificat, l’installateur crée :

une autorité de certification privée (traefik/tls/ca.pem) ;
le certificat du portail pour votre domaine (traefik/tls/cert.pem et sa clé key.pem) ;
la clé de l’autorité, déplacée hors du dossier servi : ca-key.DO-NOT-DEPLOY.pem.

À faire ensuite :

Faites approuver traefik/tls/ca.pem par les navigateurs de vos utilisateurs.
Gardez ca-key.DO-NOT-DEPLOY.pem hors ligne. Elle ne sert pas au fonctionnement, seulement à signer un renouvellement.

Votre propre certificat

Avant la première exécution de install.sh, déposez dans traefik/tls/ :

Fichier	Contenu
`cert.pem`	le certificat, avec la chaîne complète
`key.pem`	sa clé privée
`ca.pem`	l’autorité, uniquement si une autorité privée l’a signé

Le certificat doit être valide pour le domaine : l’installateur le vérifie et s’arrête sinon. Avec un certificat public, ca.pem peut rester vide.

Ce que sert le portail

Seul AARVIEW_DOMAIN est servi (SNI strict).
TLS 1.2 ou plus, avec des suites à confidentialité persistante.
HSTS et les en-têtes de sécurité usuels.

Le TLS vers vos moteurs

Les connexions d’AarView vers les moteurs qu’il lit (stockage d’évènements, gestionnaire d’agents, plateforme de renseignement, Cortex) sont vérifiées. Si l’un d’eux utilise une autorité privée, voir Moteurs existants.