Partie 8 — HTTPS avec Let’s Encrypt

⏱️ TL;DR — En Partie 7, Nginx sert ton app en HTTP, en clair. Inacceptable en prod : les navigateurs affichent « Non sécurisé », le trafic est lisible et modifiable en route, et les APIs modernes refusent de tourner sans TLS. Cette partie ajoute le cadenas. Tu vas comprendre ce que fait TLS (chiffrer, garantir l’intégrité, prouver l’identité du serveur), obtenir un certificat gratuit chez Let’s Encrypt via Certbot (sudo certbot --nginx), le faire renouveler tout seul (les certs durent 90 jours, donc l’automatisation n’est pas optionnelle), puis durcir ta config : redirection HTTP→HTTPS, HSTS, protocoles modernes, note A/A+ sur SSL Labs. À la fin, formacampus.fr est en HTTPS, renouvelé sans toi, et blindé.

Le problème qu’on résout

Ton reverse proxy tourne. Nginx écoute, relaie vers ton app, tout répond — en HTTP, sur le port 80. Le visiteur voit une URL en http://, un petit « Non sécurisé » dans la barre d’adresse, et parfois un formulaire de login qui envoie un mot de passe en clair sur le réseau. C’est le dernier maillon manquant de la façade web : le chiffrement du transport.

HTTPS, ce n’est pas un luxe cosmétique. C’est obligatoire en 2026 : les navigateurs le réclament, le référencement le récompense, et des pans entiers du web moderne (service workers, géolocalisation, fetch vers des APIs, HTTP/2) ne fonctionnent tout simplement pas sans lui. La bonne nouvelle : ce qui coûtait autrefois de l’argent et une demi-journée de paperasse est aujourd’hui gratuit et automatisable en une commande, grâce à Let’s Encrypt et Certbot. Cette partie te montre le geste exact, puis comment ne plus jamais y penser.

Ce que tu sauras faire à la fin de cette partie

• Expliquer pourquoi HTTPS est obligatoire (confidentialité, intégrité, authenticité, confiance, SEO, APIs).
• Décrire le handshake TLS et le rôle d’un certificat et d’une autorité de certification (CA).
• Obtenir un certificat Let’s Encrypt pour un domaine avec Certbot et le brancher sur Nginx.
• Mettre en place et tester le renouvellement automatique (certbot renew --dry-run).
• Durcir TLS : redirection HTTP→HTTPS, HSTS, protocoles modernes, en-têtes de sécurité.
• Viser une note A/A+ sur SSL Labs et savoir quand utiliser un certificat wildcard.

Les chapitres

Cette partie habille ta façade Nginx d’un cadenas fiable et durable. La Partie 9 — Déployer Node / Next.js s’attaque ensuite à ce qui vit derrière ce proxy : faire tourner ton app comme un vrai service de production.

On commence : Pourquoi HTTPS & TLS.