Sécuriser gratuitement votre serveur Exchange avec StartSSL

Exchange est un logiciel permettant de mettre en oeuvre un serveur de messagerie pour votre entreprise. L’avantage est de pouvoir utiliser également des calendriers partagés, des listes de tâches en plus de votre messagerie. Le client utilisé est majoritairement Outlook. Le but de ce tutoriel est de vous montrer qu’il est possible d’utiliser un certificat SSL gratuit pour sécuriser votre serveur de messagerie.

Pourquoi utiliser un certificat SSL avec votre serveur Exchange ?

Pour profiter pleinement des fonctionnalités d’Exchange il est indispensable d’utiliser un certificat SSL vérifié. Il vous permettra d’utiliser la fonctionnalité Outlook Anywhere. Cette dernière offre la possibilité à vos utilisateurs d’utiliser Outlook partout à condition d’avoir une connexion Internet. En plus vos échanges seront cryptés et donc plus sécurisés.

Certificats SSL gratuit vraiment ?

Il est possible d’acheter des certificats chez certains hébergeurs comme OVH, GANDI, GLOBAL-SIGN mais il existe des alternatives gratuites.

Let’s Encrypt a démocratisé l’utilisation gratuite de certificats , il est possible de l’utiliser pour Exchange mais je trouve le procédé trop compliqué.

Nous allons nous fier à StartSSL qui vous propose gratuitement 1 certificat pour votre domaine ou sous-domaine ( exemple mail.votredomaine.com)

Génération de la demande de certificat

La première étape est de se connecter au IIS de votre serveur de messagerie.

On se place sur notre serveur puis on clique sur CERTIFICAT SERVEUR.

On effectue ensuite une demande de certificat.

Nous devons remplir un formulaire :

Le nom commun est très important il s’agit de l’URL pour laquelle le certificat sera appliqué

Vous devez ensuite choisir un fournisseur et une longueur en BITS. Choisir 2048 pour les BITS et Microsoft RSA SCHANNEL pour le fournisseur.

Pour finir il faut définir un chemin dans lequel la demande de certificat sera enregistrée ( pensez à bien saisir nom.txt ).

Votre demande est prête nous allons maintenant ouvrir un compte chez STARTSSL

Création du compte & du certificat chez STARTSSL

Création du compte

Pour vous inscrire il faut se rendre sur le site STARTSSL

Ensuite faire Sign-UP en haut dans le menu.

Vous devez remplir le formulaire avec votre adresse mail.

Vous devez valider votre compte via le code reçu par email :

Une fois validé vous devez créer le certificat de connexion , vous devez choisir une passphrase robuste.

Vous pouvez télécharger & installer le certificat de connexion ou utiliser un code de vérification par mail.

Pour le plus simple : utiliser Login Now ça vous renvoi un code d’authentification par mail ( ce sera à faire à chaque fois que vous voudrez vous connecter au compte StartSSL )

Pour le certificat une fois téléchargé double-cliquez dessus pour l’installer ( par simplicité ça fonctionnera directement avec Internet Explorer ).

On vous demandera votre PASSPHRASE :

Si vous utilisez IE vous pourrez utiliser le menu Client Certificat Login

Pour les autres navigateurs je ne développe pas l’ajout du certificat , passez par One Time Password Login

Génération du certificat

Une fois connecté rendez-vous dans CERTIFICATES WIZARD puis sur DV SSL Certificate

Vous devez valider votre domaine

Il faut saisir votre domaine :

Pour valider votre domaine un email de vérification sera envoyé à l’adresse de vérification choisie. Attention il faut s’assurer que vous pouvez consulter les mails sur l’adresse choisie !

Me concernant j’ai mis des alias , ce qui veut dire que mon adresse nominative reçoit les mails envoyés sur postmaster par exemple. Si vous ne pouvez relevez les mails vous ne pourrez pas générer de certificat. Si l’adresse n’existe pas c’est le moment de la créer ( en alias , ou en direct ).

Validez le code reçu , votre domaine est ainsi validé

Dans le champs domaine vous devez saisir votre sous-domaine pour le serveur exchange ( généralement mail.votredomaine.com , webmail.votredomaine.com ), il doit être exactement identique au nom commun choisi lors de la demande de certificat ( voir étape 1 )

Choisir ensuite « Generated by Myself » et collez le contenu du fichier TXT générer en étape 1 « Génération de la demande de certificat »

Cliquez sur Submit vous pourrez alors télécharger le certificat SSL

Vous aurez alors un ZIP contenant le certificat pour les différents serveurs nous allons utiliser celui du IIS Server

Dézipper le dossier puis dézipper IIS SERVER , vous aurez 2 certificats à l’intérieur

Intermediate et celui de votre nom de domaine ( ici mail.jeuxaforum.com )

Installation du certificat sur le serveur Exchange

Installation

Notre certificat est généré désormais nous allons l’installer sur notre serveur Exchange.

Pour commencez cliquez sur les deux certificats ( intermediate et celui de votre domaine pour les installer )

Faire Suivant .. Suivant

Maintenant ouvrez votre IIS

Puis allez dans la partie certificat

Cliquez ensuite sur Terminer la demande de Certificat :

Vous devez allez chercher votre certificat en cliquant sur les … . Pour le nom convivial il faut saisir un nom pour le retrouver , le nom n’est pas important ( exemple Certificat-MAIL )

Pensez à choisir tous les formant en cliquant sur *.*

Une fois votre certificat installé vous devez redémarrer votre IIS.

Liaisons du certificat

Pour finir vous devez lier votre nouveau certificat , pour cela sur votre IIS il faut se rendre sur la liste des sites , choisir le site par défaut et à droite liaisons

Nous allons affecter notre certificat aux deux adresses HTTPS ( port 443 )

Une fois sélectionner nous allons redémarrer le IIS.

Normalement votre accès à mail.votrenomdedomaine.com est sécurisé avec le HTTPS en vert.

Pour aller plus loin

Ce tutoriel propose uniquement l’installation du certificat via IIS. Pour utiliser pleinement les fonctionnalités d’un serveur Exchange , je vous invite fortement à consulter des tutoriels pour le configurer parfaitement. Exchange ce n’est pas aussi simple que ça en à l’air et ça demande de la rigueur sur la configuration. Je vous ai donc mis en lien un super tutos de Sylvain Coudeville. Le certificat permet d’utiliser la fonctionnalité Outlook Anywhere.