Win Pro: SSL / Https Rating A+

Guillaume - ingénieur systèmes 18 juin 202110 mars 2022

Pour tester la sécurisation de votre site vous pouvez utiliser ce site :
https://www.ssllabs.com/ssltest/
Afin que vos résultats soient privés, veuillez cocher la case « Do not show the results on the boards » .

Une explication du Rating ce trouve ici (anglais) :
https://github.com/ssllabs/research/wiki/SSL-Server-Rating-Guide

Ce qui dépend de votre IIS sera principalement les « protocoles » et les « ciphers ».
Un outil permet de configurer cela simplement (download > gui) :
https://www.nartac.com/Products/IISCrypto/

Concernant les protocoles,
Seul TLS 1.2 et 1.3 ne sont pas obsolètes.
Il est à noter que IIS ne supporte pas TLS 1.3.

Concernant les ciphers,
Diffie-Hellman est obsolète.

Une configuration correcte en 1.2 est la suivante :

Pour obtenir la note de A+, il faudra un certificat en RSA 4096 bits ou plus.
Les certificats « Let’s Encrypt » sont par défaut en RSA 2048 bits ou RSA 3072 bits ce qui limite la note de la clef respectivement à 80% ou 90%.
Plus la clef est grande plus le protocole HTTPS en sera ralenti. Ce qui est gagné en « sécurité » est perdu en rapidité.

Pour obtenir du TLS 1.3 tout en gardant votre site Asp sur du IIS, nous proposons des serveurs de reverse proxy sous Ubuntu + Apache.

Migrer votre WordPress en https

Guillaume - ingénieur systèmes 16 avril 201917 avril 2019

Il ne suffit pas d’activer un certificat, voici les actions à faire.

1. Installer le certificat ssl

2. Modifier l’url dans WordPress

Rendez-vous dans l’administration de votre WordPress, section Réglages > Général. Il vous faudra modifier l’url en https.

3. Modifier les urls dans la base de donnée

Nous recommandons l’utilisation de ce script gratuit en license GPLv3 :
https://interconnectit.com/products/search-and-replace-for-wordpress-databases/

4. Rediriger en https permanent

Sous Apache, la modification se fait dans le fichier de configuration via l’interface prévue à cet effet ou dans le fichier .htaccess (nous recommandons la première méthode).

Sous IIS, voici une méthode simplifié :
https://blog.rdmedias.com/iis-7-redirect-force-et-fixe-http-https
ou une méthode plus avancée :
https://aboutssl.org/iis-redirection-http-to-https/

5. Mettre à jour le fichier robot.txt

http://robots-txt.com/ressources/robots-txt-https/

6. Déclarer votre site en HTTPS sur Google Search et recharger la sitemap

A priori pas besoin car désormais google n’implique pas de modification de HTTP > HTTPS :

https://support.google.com/webmasters/answer/83106?hl=fr

7. Mettre à jour sur Google Analytics

8. Tester sur www.sslabs.com/ssltest/

IIS 7 > redirect forcé et fixe http – https

laurent - responsable Technique 28 mars 2018

A écrire dans le web.config

<rules>
   <rule name="HTTP/S to HTTPS Redirect" enabled="true" stopProcessing="true">
      <match url="(.*)" />
      <conditions logicalGrouping="MatchAny">
         <add input="{SERVER_PORT_SECURE}" pattern="^0$" />
      </conditions>
      <action type="Redirect" url="https://[votresite]" redirectType="Permanent" />
   </rule>
</rules>

<rules>

</conditions>

</rule>

</rules>

IIS7 – Leverage Browser Caching

laurent - responsable Technique 3 novembre 20173 novembre 2017

Afin de passer à A sous GTmetrix pour la notion de cache des images sous windows il suffit juste d’ajouter le snippet suivant dans le web.config

<system.webServer>
<staticContent>
<clientCache cacheControlMode="UseMaxAge" cacheControlMaxAge="30.00:00:00" />
</staticContent>
</system.webServer>

<system.webServer>

</staticContent>

</system.webServer>

Ce qui donne un cache de 30 jours, largement suffisant 🙂

OLEDB 32 et 64 bits

laurent - responsable Technique 13 octobre 2017

Souci sous windows 2008 depuis la dernière MAJ Windows, on dirait que data access engine a été modifié et le connecteur OLEDB ne fonctionne plus.

Après des heures de recherche, la solution est simple au final.

désinstaller tous les Microsoft Access database engine
rebooter
ré installer Microsoft Office database engine 2007 (trouvé version anglaise en téléchargement), c’est une version 32 bits
ré installer Microsoft Office database engine 2010 (64 bits) en mode passif

AccessDatabaseEngine_X64.exe /passive

1	AccessDatabaseEngine_X64.exe /passive

Et voilà le tour est joué 🙂

Désormais,

strDsn = "Provider=Microsoft.ACE.OLEDB.12.0;Data Source="& file &";Extended Properties=""Excel 12.0 Xml;HDR=YES;IMEX=1"";"

1	strDsn = "Provider=Microsoft.ACE.OLEDB.12.0;Data Source="& file &";Extended Properties=""Excel 12.0 Xml;HDR=YES;IMEX=1"";"

est fonctionnel en 32 et 64 bits.

Excel et les droits

laurent - responsable Technique 12 octobre 201712 octobre 2017

Souci avec un server.createObject de Excel voici deux liens qui permettront de modifier la configuration sous 2008 ou 2012 serveur :

2012 : https://social.msdn.microsoft.com/Forums/windowsdesktop/en-US/d06cfd6b-ff22-4626-a539-b341dc78054b/how-to-launch-unattended-excelexe-from-a-web-page?forum=exceldev

.2008 : http://www.bloing.net/2011/01/how-to-make-iis7-play-nice-with-office-interop/

pour 2008, manque en info, passer le pool d’application à local system

Quelques pistes de connection car à priori MSDASQL ne fonctionne plus :

Testé avec ces lignes de connexion sous 2008 serveur ça fonctionne :

strDsn = "Provider=Microsoft.ACE.OLEDB.12.0;Data Source="& file &";Extended Properties=""Excel 12.0 Xml;HDR=YES"";"

1	strDsn = "Provider=Microsoft.ACE.OLEDB.12.0;Data Source="& file &";Extended Properties=""Excel 12.0 Xml;HDR=YES"";"

strDsn = "Driver={Microsoft Excel Driver (*.xls, *.xlsx, *.xlsm, *.xlsb)};DBQ="& file &";"

1	strDsn = "Driver={Microsoft Excel Driver (.xls, .xlsx, .xlsm, .xlsb)};DBQ="& file &";"

Ce qui ne fonctionne pas (ou plus) :

strDsn = "Provider=Microsoft.Jet.OLEDB.4.0;excel 8.0;DATABASE="& file &";" (erreur de pilote) et je présume que MSDASQL est lié.

1	strDsn = "Provider=Microsoft.Jet.OLEDB.4.0;excel 8.0;DATABASE="& file &";" (erreur de pilote) et je présume que MSDASQL est lié.

IIS7 – mySQL et ASP

laurent - responsable Technique 30 juin 201630 juin 2016

Sous 2012 serveur, installer le driver mysql-connector-odbc-5.3.6-winx64.msi, récupérable sur https://dev.mysql.com/downloads/connector/odbc/

NB : testé le connecteur en 32 bits, non installable sous 2012 serveur !

Ensuite passer le pool d’application en 64 bits pour faire tourner le driver en ASP.

Pour vous connecter ce sera donc :

Set oConn=Server.CreateObject("ADODB.Connection") 
oConn.Open "DRIVER={MySQL ODBC 5.3 ANSI Driver};SERVER=localhost;PORT=3306;DATABASE=XXX;USER=XXX;PASSWORD=XXX;OPTION=3;"
...
oConn.Close
Set oConn = nothing

Set oConn=Server.CreateObject("ADODB.Connection")

oConn.Open "DRIVER={MySQL ODBC 5.3 ANSI Driver};SERVER=localhost;PORT=3306;DATABASE=XXX;USER=XXX;PASSWORD=XXX;OPTION=3;"

...

oConn.Close

Set oConn = nothing

SSL – désactiver les protocoles obsolètes

laurent - responsable Technique 17 décembre 2015

Disabling SSL 2.0 and 3.0 on IIS 6

Open up “regedit” from the command line
Browse to the following key:
HKLM\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\SSL 2.0\Server
Create a new REG_DWORD called “Enabled” and set the value to 0
You will need to restart the computer for this change to take effect. (you can wait on this if you also need to disable the ciphers)

Refaire la manip pour SSL3.0

Disable unsecure encryption ciphers less than 128bit

Open up “regedit” from the command line
Browse to the following key:
HKLM\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Ciphers\DES 56/56
Create a new REG_DWORD called “Enabled” and set the value to 0
Browse to the following key:
HKLM\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Ciphers\RC2 40/128
Create a new REG_DWORD called “Enabled” and set the value to 0
Browse to the following key:
HKLM\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Ciphers\RC4 40/128
Create a new REG_DWORD called “Enabled” and set the value to 0
Browse to the following key:
HKLM\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Ciphers\RC4 56/128
Create a new REG_DWORD called “Enabled” and set the value to 0
You will need to restart the computer for this change to take effect.

IIS – Afficher erreurs 500 détaillées en ASP

laurent - responsable Technique 27 août 201527 août 2015

Ouvrir le fichier web.config, sans toucher l’existant rajouter ou modifier ce dernier de la sorte :

<?xml version="1.0"?>
<configuration>
  <system.webServer>
    <httpErrors errorMode="Detailed"/> 
  </system.webServer>
</configuration>

<?xml version="1.0"?>

<system.webServer>

</system.webServer>

</configuration>

Enregistrez et le tour est joué.

IIS7, perte des lecteurs réseau

laurent - responsable Technique 19 juin 201519 juin 2015

Windows 2012 serveur désactive automatiquement les lecteurs réseau pour économiser de la ressource. Afin de conserver des lecteurs permanents lancez sous shell :

net config server /autodisconnect:-1

1	net config server /autodisconnect:-1

Plus d’infos sur : https://support.microsoft.com/en-us/kb/297684/fr

Actualités, interventions et astuces en hébergement