docs/Savaneprod/2025-03-31-certificats-wildcard-pour-synology.md

@@ -7,29 +7,61 @@ date: 2025-03-31
 ---
 # Générer et mettre à jour automatiquement un certificat "wildcard" auprès de ZeroSSL et le déployer dans Synology DSM.
 
-### Chez infomaniak 
+Jusqu'à présent, les certificats des domaines dont je suis le propriétaire étaient mis à jour selon ce qui est explicité à cette page : [Générer et mettre à jour automatiquement un certificat "wildcard" let's encrypt.](2019-12-16-wildcard-lets-encrypt-certificate.md)
+
+Nous sommes en mars 2025, Trump et sa bande sont à la tête d'un Pays munis du [Patriot Act](https://fr.wikipedia.org/wiki/USA_PATRIOT_Act). Il est grand temps de rapatrier la gestion des certificats de notre côté de l'Atlantique. Le seul service gratuit permettant d'utiliser [acme.sh](https://github.com/acmesh-official/acme.sh) que j'ai pu trouvé, c'est [ZeroSSL](https://zerossl.com/). Et ça tombe bien, c'est devenu le service par défaut utilisé par [acme.sh](https://github.com/acmesh-official/acme.sh/wiki/Change-default-CA-to-ZeroSSL).
+
+De base je n'aimais pas le principe d'installer acme.sh, d'autant plus que ça ne fonctionnait pas de manière standard avec Synology DSM. C'était l'occasion d'écrire un beau script qui utilise le [conteneur docker](https://github.com/acmesh-official/acme.sh/wiki/Run-acme.sh-in-docker) pour la génération et le renouvellement des certificats.
+Pour importer automatiquement les certificats dans Synology DSM j'utilise le script acme.sh en "standalone" localement. Sans quoi il faudrait passer des identifiants root dans le conteneur Docker, autant dire que ça ne serait pas terrible.
+
+## Utilisation du script
+
+```bash
+cd /la/ou/qutu/veux/que/ton/certificat/il/soit
+git clone https://gitea.savaneprod.fr/jf/Certificats.git
+```
+
+## Côté infomaniak
+### Pour le challenge DNS (vérification que l'on possède bien le nom de domaine)
 
 * Utilisation de l'API infomaniak : [https://github.com/acmesh-official/acme.sh/wiki/dnsapi2#dns_infomaniak](https://github.com/acmesh-official/acme.sh/wiki/dnsapi2#dns_infomaniak)
 * Création d'un token d'API pour la gestion des entrées DNS :
 Depuis la page d'accueil. Aller dans "Utilisateur et profil", "Mon profil", "Développeur" et "Tokens API".
 
 ![Création d'un token d'API pour gérer les entrées DNS](infomaniak_API_token.png)
-* On peut alors modifier le script avec les valeurs suivantes :
+* À partir de ça tu crées un fichier `INFOMANIAK_API_TOKEN.secret` qui contient : 
 ```bash
-API="dns_infomaniak_add"
-export INFOMANIAK_API_TOKEN="mon_t0k3n_9uil_e2t_grand_et_b1en_utile"
+INFOMANIAK_API_TOKEN="mon_t0k3n_9uil_e2t_grand_et_b1en_utile"
 ```
-Il faut le sauvegarder en lieu sûr, car une fois créé il ne sera plus possible de le consulter.
 
-### Côté ZeroSSL
+## Côté ZeroSSL
+### Afin d'obtenir des clefs d'API
 
-### La conf dans DSM dans le planificateur de tâches
+La contrepartie de passer de Let's encrypt à ZeroSSL, est qu'il est nécessaire d'avoir un compte. Depuis ce compte on va pouvoir générer des clefs qui nous permettront d'utiliser une API spécialement conçue pour acme.sh .
+
+!(Dashboard ZeroSSL)[zerossl_1.png]
+
+!(Modale apparaissant lorsqu'on demande la génération des clefs d'API)[zerossl_2.png]
+
+À partir de ces clefs tu crées un fichier `ZEROSSL.secret` qui contient :
+```bash
+EAB_KID='lapetiteclef'
+EAB_HMAC_KEY='laGrosse_ClefDeLamort\gna'
+```
+
+## *Et pis c'est tout !*
+
+T'as plus qu'à exécuter `issue-or-renew-certs-for-dsm.sh` and : 
+
+## La conf dans DSM dans le planificateur de tâches
 
 ![Planificateur de tâche, onglet "General"](task_general-tab.png)
 
 J'ai finalement décidé de renouveler tous les mois parce que le Synology propose tous les 3 mois mais la durée de vie du certificat est légèrement inférieure. Et je n'ai pas cherché à configurer le renouvellement tous les deux mois.
+
 ![Planificateur de tâches, onglet "Schedule"](task_Schedule-tab.png)
 
 Exécution du script. Il faut bien entendu que le script ait la permission d'éxécution configurée.
+
 ![Planificateur de tâches, onglet "Task Settings"](task_setting-tab.png)