Problème paramétrage HTTP2 sur Nginx

[ABCWEB]

Bonjour,

j'essaie de paramétrer http2 sur un serveur nginx pour le domaine storetoile.fr.

j'ai un certificat et j'ai la config suivante:

server {
listen 443 ssl http2;
listen [::]:443 ssl http2;


  return 301 https://www.storetoile.fr$request_uri;
  rewrite  ^/toile-pergola-fds.php$  ^/toile-pergola.php permanent;
  error_page 404 /404.php;


  # SSL
  ssl_certificate /etc/ssl/storetoile/2019/storetoile.crot;
  ssl_certificate_key /etc/ssl/storetoile/2019/privatekey.pem;
  ssl_protocols TLSv1.2;
  ssl_prefer_server_ciphers on;

  # Application
  root /var/www/storetoile;
  index index.php;
  try_files $uri $uri/ $uri.html =404;
 
}

server{
listen 80;


  return 301 https://www.storetoile.fr$request_uri;

}

j'ai un plesk ajenti

Si les experts pouvaient m’aiguiller car la je cale j'ai essayé pas mal de chose

 

[cthierry]

Pour Plesk, j'avais fait cela :
https://docs.plesk.com/fr-FR/obsidi...nux/prendre-en-charge-http2-dans-plesk.76461/

 

[ABCWEB]

Pour Plesk, j'avais fait cela :
https://docs.plesk.com/fr-FR/obsidi...nux/prendre-en-charge-http2-dans-plesk.76461/

Merci mais j'ai ajenti

 

[ortolojf]

Pardon

Le certif. ce 'nest pas ." crot", mais ".crt" ou ".pem".

Je ne comprend pas :

listen 443 ssl http2;
listen [::]:443 ssl http2;

Le listen 443, n'écoute-t-il pas en IPV6 et IPV4 ?

Ne faudrait-il pas :

listen *.443 ssl http2;
listen [::]:443 ssl http2;

IPV4 et IPV6 ...

Amicalement.

 

[ABCWEB]

pour le .crot je serai bien d'accord mais quand je parcours les fichiers c'est bien ce que j'ai et ça semble marcher

 

[ABCWEB]

j'ai tester en .crt ça plante et avec tes listen ça plante aussi

 

[ortolojf]

Bonjour ABCWEB

Si c'est avec "systemctl start nginx.service" que çà plante, il devrait indiquer un message pour regarder : "journalctl -exe"

Avant, pour vérifier la config :

"nginx -t" indique si la config a des erreurs.

Amicalement.

 

[ABCWEB]

Bonjour ABCWEB

Si c'est avec "systemctl start nginx.service" que çà plante, il devrait indiquer un message pour regarder : "journalctl -exe"

Avant, pour vérifier la config :

"nginx -t" indique si la config a des erreurs.

Amicalement.

j'ai des warning sur d'autres domaines mais pas d'erreurs sur le domaine en question

 

[ortolojf]

Bonjour ABCWEB

Il faudrait regarder dans les logs de nginx et php.

Amicalement.

 

[ABCWEB]

Bonjour ABCWEB

Il faudrait regarder dans les logs de nginx et php.

Amicalement.

la ça dépasse mes compétences

 

[ortolojf]

Bonjour ABCWEB

/var/log/nginx/ sous répertoires

/var/log/php8-fpm/ ou autres php

Il y a théoriquement des fichiers *.gz plus d'autres fichiers non compressés.

Les plus récents ne sont pas compressés.

Les éditer et chercher les erreurs.

Si çà se trouve, c'est une simple erreur php qui interrompt des scripts.

Amicalement.

 

[spout]

Et pas de directive "server_name" dans ta config ?

Perso j'ai une config du genre :

server {
    listen 443 ssl http2;
    server_name eaupotable.info;
    
    ssl_certificate /etc/letsencrypt/live/eaupotable.info/fullchain.pem;
    ssl_certificate_key /etc/letsencrypt/live/eaupotable.info/privkey.pem;

    # root directive should be global
    root   /var/www/eaupotable.info/public/;
    index  index.php;

    # ...
}

 

[ABCWEB]

ça pourrait venir du certificat?

 

[ABCWEB]

Et pas de directive "server_name" dans ta config ?

j'ai essayé avec ta méthode

server {
    listen 443 ssl http2;
    server_name storetoile.fr;
    
    ssl_certificate /etc/ssl/storetoile/2019/storetoile.crot;
      ssl_certificate_key /etc/ssl/storetoile/2019/privatekey.pem;

    root /var/www/storetoile/;
    index  index.php;

}

sans plus de succès

 

[spout]

plutôt :

server_name www.storetoile.fr

Attention que sans www ça télécharge les fichiers .php !

 

[ABCWEB]

plutôt :

server_name www.storetoile.fr

Attention que sans www ça télécharge les fichiers .php !

moi c'est avec que ça télécharge les fichier php

 

[ABCWEB]

Mais aucune amélioration niveau http2

 

[ortolojf]

Bonjour ABCWEB

Bon ben faut renouveler le certif.

Amicalement.

 

[ABCWEB]

Bonjour ABCWEB

Bon ben faut renouveler le certif.

Amicalement.

Le renouveler je sais pas la date d'expiration est en juillet 2022 mais j'ai le sentiment qu'on m'a refilé un certificat en bois

 

[spout]

nginx -t ça teste la configuration, ça n'applique pas les changements, sous Debian tu dois faire :

service nginx reload

 

[spout]

moi c'est avec que ça télécharge les fichier php

c'est une méga faille :


NB : c'est pas avec addslashes qu'on échappe les données MySQL, mais avec : https://www.php.net/manual/fr/mysqli.real-escape-string.php
NB 2 : tu as une faille d'injection SQL dans client.php ligne 30.

 

[ortolojf]

Bon

Les scripts php ne sont pas interprétés.

Chercher listen dans /etc/php*/etc => ww.conf

Et dans /etc/nginx config php correspondantes.

Dans mon cas ( socket unix ) :

fastcgi_pass unix:/var/run/php-fpm/php.sock;

Et dans ww.conf :
listen = /var/run/php-fpm/php.sock

Les deux sockets doivent correspondre.

 

[ortolojf]

Pardon

Faut corriger les mime-types, qui ne sont à déclarer que dans /etc/nginx/mime.types

A part çà, indiquer les adresses ip entières dans chaque config de server.

Sous /etc/nginx/sites-available

Regarder sur le net pour la config nginx.

Ton site est accessible.

 

[ABCWEB]

nginx -t ça teste la configuration, ça n'applique pas les changements, sous Debian tu dois faire :

service nginx reload

 

[ABCWEB]

c'est une méga faille :
Voir la pièce jointe 1389

NB : c'est pas avec addslashes qu'on échappe les données MySQL, mais avec : https://www.php.net/manual/fr/mysqli.real-escape-string.php
NB 2 : tu as une faille d'injection SQL dans client.php ligne 30.

du coup faut que je remplace les addslashes par des mysqli_real_escape_string($link, $_POST['adresse']) si j'ai bien compris.

ça corrige la faille NB2?

Et la méga faille faut m'expliquer comment t'arrives la ou comment t’empêcher d'y arriver

 

[cthierry]

Merci mais j'ai ajenti

Oui, il semblerait bien, même si au départ tu parlais de Plesk et ensuite Ajenti. Et en effet, cela n'a rien à voir question gestion de serveur entre les 2, avec Plesk j'avais tout mis en place en une ligne de commande après avoir vérifié que les versions correspondaient.

Bon courage pour la suite !

 

[ABCWEB]

Bon

Les scripts php ne sont pas interprétés.

Chercher listen dans /etc/php*/etc => ww.conf

Et dans /etc/nginx config php correspondantes.

Dans mon cas ( socket unix ) :

fastcgi_pass unix:/var/run/php-fpm/php.sock;

Et dans ww.conf :
listen = /var/run/php-fpm/php.sock

Les deux sockets doivent correspondre.

je touche pas à ce genre de chose je n'y connais absolument rien. Je gère comme je peux avec ajenti mais c'est assez limité. Il va falloir que j'installe un nouveau certificat et je sais pas comment y attaquer

 

[ABCWEB]

Oui, il semblerait bien, même si au départ tu parlais de Plesk et ensuite Ajenti. Et en effet, cela n'a rien à voir question gestion de serveur entre les 2, avec Plesk j'avais tout mis en place en une ligne de commande après avoir vérifié que les versions correspondaient.

Bon courage pour la suite !

j'ai dit plesk par abus de langage je voulais dire panel

Merci^^

 

[cthierry]

Ben du coup, tu peux t'y intéresser Même si c'est une surcouche, c'est super complet pour gérer les serveurs, les abonnements de A à Z. Bon, c'est payant mais cela m'évite bien des tracas au quotidien, comme celui que tu as rencontré ce matin !

 

[ABCWEB]

Ben du coup, tu peux t'y intéresser Même si c'est une surcouche, c'est super complet pour gérer les serveurs, les abonnements de A à Z. Bon, c'est payant mais cela m'évite bien des tracas au quotidien, comme celui que tu as rencontré ce matin !

j'ai pas choisi c'était livré avec. Normalement coté serveur j'ai un prestataire mais ils se sont fait racheté 2 fois et maintenant je les trouve pas très compétant. Avant j'avais cpanel qui était très bien aussi

 

[ortolojf]

Pardon

Votre certificat est correct il court jusqu'en 2022.

Celà est prouvé par votre connexion réussie à votre site.

C'est la config nginx qui foire.

 

[ortolojf]

Bonjour ABCWEB

Ton serveur et ton site sont accessibles.

Il y a des warnings pour les autres ndds.

 

[spout]

C'est peut-être aussi à cause des "Insecure Cipher Suites" :
https://www.digitalocean.com/commun...-up-nginx-with-http-2-support-on-ubuntu-18-04

 

[spout]

ça corrige la faille NB2?

Non, tu as un paramètre pas du tout échappé (même pas de addslashes), idem à la ligne 18, 44, ...
Tu peux bien faire une recherche globale et trouver tous les $_POST.

 

[ABCWEB]

Pardon

Votre certificat est correct il court jusqu'en 2022.

Celà est prouvé par votre connexion réussie à votre site.

C'est la config nginx qui foire.

je sais pas ce qu'il faut que je fasse j'ai tout essayé de ce que j'ai lu et aucune amélioration

 

[ABCWEB]

C'est peut-être aussi à cause des "Insecure Cipher Suites" :
https://www.digitalocean.com/commun...-up-nginx-with-http-2-support-on-ubuntu-18-04

je trouve pas ce fichier de configuration sur le serveur.

Tu navigues comment dans le serveur? par panel ou t'as un explorateur?

 

[ortolojf]

Bonjour ABCWEB

Ton ndd principal n'indique pas les ips.

Il faut mettre les ips :

listen 91.224.231.250:443 ssl http2; ( ipv4 )

listen ipv6:443 ssl http2; ( ipv6 )

D'autre part ton ipv6 ( de storetoile.fr ) n'est pas configurée dans les dns.

Faut vérifier les dns :

Linux :

dig -t a ndd ( ipv4 )

dig -t aaaa ndd ( ipv6 )

Windows : je ne sais pas.

 

[ortolojf]

je trouve pas ce fichier de configuration sur le serveur.

Tu navigues comment dans le serveur? par panel ou t'as un explorateur?

Pour nginx : sous le répertoire : /etc/nginx/ et sous-répertoires

J'ai ssh sur mon vps.

Amicalement.

 

[ABCWEB]

 

[ABCWEB]

Pour nginx : sous le répertoire : /etc/nginx/ et sous-répertoires

J'ai ssh sur mon vps.

Amicalement.

je navigue avec ajenti mais c'est pas très fluide

 

[ortolojf]

Bonjour ABCWEB

Pour le deuxième dig, le ANSWER 0 et le IN AAAA sans ip indiquent que l'ipv6 n'est pas configurée.

Si ton hébergeur donne une ipv6, il faut configurer le champ AAAA des dns avec l'ipv6.

Le champ A est correct.

Amicalement.

 

[ABCWEB]

Bonjour ABCWEB


Il faut mettre les ips :

listen 91.224.231.250:443 ssl http2; ( ipv4 )

listen ipv6:443 ssl http2; ( ipv6 )

nginx: [emerg] host not found in "ipv6:443" of the "listen" directive in /etc/nginx/conf.d/sett.conf:7

 

[ABCWEB]

Bonjour ABCWEB

Pour le deuxième dig, le ANSWER 0 et le IN AAAA sans ip indiquent que l'ipv6 n'est pas configurée.

Si ton hébergeur donne une ipv6, il faut configurer le champ AAAA des dns avec l'ipv6.

Le champ A est correct.

Amicalement.

la j'ai pas la main la dessus je vais demander

 

[ABCWEB]

c'est une méga faille :
Voir la pièce jointe 1389

NB : c'est pas avec addslashes qu'on échappe les données MySQL, mais avec : https://www.php.net/manual/fr/mysqli.real-escape-string.php
NB 2 : tu as une faille d'injection SQL dans client.php ligne 30.

J'ai corrigé les failles en espérant ne pas en avoir laisser trainer d'autre. Merci d'avoir soulever ces points.

 

[spout]

J'ai corrigé les failles en espérant ne pas en avoir laisser trainer d'autre. Merci d'avoir soulever ces points.

Non on px tjs télécharger tes scripts PHP et il y a tjs une faille à client.php ligne 30 ($_POST['civil']).

 

[ABCWEB]

Non on px tjs télécharger tes scripts PHP et il y a tjs une faille à client.php ligne 30 ($_POST['civil']).

j'ai corrigé pour le fichier client. Pour le téléchargement des fichier php va falloir que tu me dise comment tu fais soit pour bloquer ça soit pour le faire je sais même pas comment tester si ce que je fais est efficace.

 

[ortolojf]

Bonjour ABCWEB

Logiquement les fichiers php sont interprétables sur le serveur, et envoient du html.

Théoriquement, il n'y a pas besoin de bloquer des fichiers php, sauf ceux qui ne doivent pas être lancés.

 

[ABCWEB]

Bonjour ABCWEB

Logiquement les fichiers php sont interprétables sur le serveur, et envoient du html.

Théoriquement, il n'y a pas besoin de bloquer des fichiers php, sauf ceux qui ne doivent pas être lancés.

Il faut que je redirige les fichiers php vers une url en .html?

 

[ortolojf]

Pardon

Tes sites fonctionnent ?

Ils sont visibles sur ton browser ?

Je laisse à d'autres les explications.

Il faudrait que tu dises les problèmes résiduels à résoudre.

 

[ABCWEB]

Pardon

Tes sites fonctionnent ?

Ils sont visibles sur ton browser ?

Je laisse à d'autres les explications.

Il faudrait que tu dises les problèmes résiduels à résoudre.

Oui ils fonctionnent très bien. J'ai des commandes et des appels donc pas de soucis apparemment c'est pour ça que je comprends d’où vient le problème.

 

[cthierry]

Chez moi, storetoile.fr est en non sécurisé et quand je rajoute le "s" a HTTP, cela télécharge la page.

 

[ortolojf]

Bonjour cthtierry

Moi en https la page s'affiche correctement.

Sous Google Chrome et Linux Fedora v. 34

Version 96.0.4664.45 (Build officiel) (64 bits)

 

[ABCWEB]

Chez moi, storetoile.fr est en non sécurisé et quand je rajoute le "s" a HTTP, cela télécharge la page.

Merci de me faire remonter ça en effet sous edge et safari la redirection en https ne se fait pas et sous edge ca télécharge la page.

 

[cthierry]

Sous Chrome aussi d'ailleurs ! Bref, sur tous les navigateurs. La dernière fois que j'ai eu une couille comme cela, c'était un service qui n'était pas démarré. Bon courage pour la suite.

Au passage, la faille de @spout semble corrigée

 

[ABCWEB]

Sous Chrome aussi d'ailleurs ! Bref, sur tous les navigateurs. La dernière fois que j'ai eu une couille comme cela, c'était un service qui n'était pas démarré. Bon courage pour la suite.

Au passage, la faille de @spout semble corrigée

j'arrive pas à reproduire l'erreur sous chrome et sous edge il me semble avoir corrigé car je n'arrive pas à reproduire le téléchargement. Si tu arrives à télécharger un script dis moi ta manip que je vois comment le reproduire.

Merci

 

[spout]

C'est bien corrigé maintenant.

 

[ABCWEB]

C'est bien corrigé maintenant.

Super Merci d'avoir regardé.

Pour le HTTP2 j'ai appelé un autre prestataire d'infogérance il me dit que le certificat est pourri donc pas besoin de chercher plus loin.

 

[ortolojf]

Pardon

C'est peut-être que le certificat est trop moderne, et pas accepté par certains navigateurs.

Qui est l"autorité de ce certificat ?

LetsEncrypt ?

Amicalement

 

[ABCWEB]

C'est peut-être que le certificat est trop moderne, et pas accepté par certains navigateurs.

Qui est l"autorité de ce certificat ?

Sectigo pas reconnu par chrome et firefox

 

[ortolojf]

Bonjour ABCWEB

LetsEncrypt c'est gratuit.

Amicalement.

 

[ABCWEB]

Bonjour ABCWEB

LetsEncrypt c'est gratuit.

Amicalement.

Je connais pas assez pour en parler mais il me faut un certificat qui tourne sur plusieurs sous domaine et il me faut des certificats avec des assurances.

Après c'est pas le prix que ça coute qui va mettre l'entreprise en péril