ET SI VOUS PASSIEZ SUR NOTRE NOUVEAU SITE ?
bonjour
Depuis septembre 2019 nous avons progressivement basculé les différentes rubriques sur un nouveau site internet, accessible à la même adresse : https://www.zaclys.com/
Vous êtes ici sur l'ancienne version , qui n'est plus maintenue
Vous pouvez toutefois continuer de l'utiliser si besoin, ou si par exemple vous préférez l'ancien affichage du service album, toujours accessible à cette adresse : https://v2.zaclys.com/album,75
Merci et à bientôt,
amicalement
l'équipe Zaclys
Mastodon config nginx
config nginx pour A+ (96/100) au test HTTPS et A+ (125/100) au test OSB (tout en restant compatible android 7 pour mon gars le suisse )
Sur https://instances.mastodon.xyz/ chaque site a un note pour HTTPS et (bientôt) une note pour Obs
Pour tester votre 1ere note (https) , maxi 100 points , remplacez mastodon.azclys.com par votre url ici :
https://tls.imirhil.fr/https/mastodon.zaclys.com
Pour tester votre 2nd note (obs) , maxi A+ , c'est pareil ici :
https://observatory.mozilla.org/analyze.html?host=mastodon.zaclys.com
Prérequis / admettons que mastodon soit déjà installé (debian 8 et certif letsencrypt sont ok )
comme expliqué ici : https://angristan.fr/installer-instance-mastodon-debian-8/
1/ d'abord forger le dhparam :
test -d /etc/nginx/ssl || mkdir -p /etc/nginx/ssl
nice openssl dhparam -out /etc/nginx/ssl/dhparam2.pem 4096
2/ ensuite ma config /etc/nginx/conf.d/mastodon.conf :
ATTENTION pour la config ci dessous vous devez upgrader vers minimum Ruby v2.4.1 et Mastodon v1.2
ssl_certificate /etc/letsencrypt/live/mastodon.zaclys.com/fullchain.pem;
ssl_certificate_key /etc/letsencrypt/live/mastodon.zaclys.com/privkey.pem;
ssl_trusted_certificate /etc/letsencrypt/live/mastodon.zaclys.com/chain.pem;
ssl_session_timeout 10m;
ssl_session_cache shared:SSL:10m;
ssl_session_tickets off;
ssl_ciphers 'ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305:ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-SHA384:ECDHE-RSA-AES256-SHA384:ECDHE-ECDSA-AES128-SHA256:ECDHE-RSA-AES128-SHA256';
ssl_protocols TLSv1.2;
ssl_prefer_server_ciphers on;
ssl_dhparam /etc/nginx/ssl/dhparam2.pem;
add_header Strict-Transport-Security 'max-age=15768000; includeSubDomains; preload';
add_header X-Content-Type-Options "nosniff";
add_header X-XSS-Protection "1; mode=block";
add_header Referrer-Policy "strict-origin-when-cross-origin";
# mastodon version < 1.2 ( note A au test OBS)
# mastodon version 1.2 ( note A+ 125 à 130 au test OBS)
add_header Content-Security-Policy "frame-ancestors 'none'; object-src 'none'; script-src 'self'; base-uri 'none';";
# merci à Dryusdan
# EN RESUME : A FAIRE dans un shell sous root (avec au moins 2 certifs letsencrypt forgés) :
# certif=/etc/letsencrypt/live/mastodon.zaclys.com/cert.pem
# archive=/etc/letsencrypt/archive/mastodon.zaclys.com/cert1.pem
# key=$(openssl x509 -in $certif -pubkey -noout | openssl rsa -pubin -outform der | openssl dgst -sha256 -binary | openssl enc -base64)
# key2=$(openssl x509 -in $archive -pubkey -noout | openssl rsa -pubin -outform der | openssl dgst -sha256 -binary | openssl enc -base64)
# echo " add_header Public-Key-Pins 'pin-sha256=\"$key\"; pin-sha256=\"$key2\"; max-age=5184000; includeSubDomains';"
# et integrer ici le résultat du echo ...
ssl_stapling on;
ssl_stapling_verify on;
keepalive_timeout 5;
sendfile on;
client_max_body_size 0;
gzip off;
3/ test et reload :
nginx -t && nginx -s reload
4/ si vous voulez contribuer pour améliorer encore, dites le nous et on complètera cette config pour tout le monde :
https://mastodon.zaclys.com/@zaclys
notamment sur ce point : HTTP Public Key Pinning (nginx / debian / letsencrypt)
amicalement,
4 986 clics - Créé le 12/04/2017 par Tito - Modifié le 18/04/2017