MAMP : Approuver un certificat SSL auto-signé

Avec la généralisation du https par les navigateurs, les sites doivent avoir un certificat SSL.
Si vous utilisez MAMP ou MAMP Pro comme serveur local pour développer vos sites, vous pouvez lui demander de générer un “certificat SSL auto-signé” pour chacun d’eux. Toutefois, les navigateurs identifient qu’il s’agit d’un certificat auto-signé et affichent une alerte ou une page d’avertissement plutôt anxiogène.
Heureusement, MacOS X permet de “forcer” l’approbation du certificat auto-signé afin d’accéder au site sans avoir à subir ces avertissements. Ce tutoriel vidéo vous explique en 5 minutes le pourquoi et le comment.

Le tutoreil vidéo non sous-titré

Le tutoriel vidéo sous-titré

La transcription

Bonjour,

Ce court tuto pour répondre à une problèmatique qui revient assez souvent lorsqu’on crée un site en local avec Mamp ou Mamp Pro et qui concerne les certificats SSL auto-signés.

Bien qu’ayant généré le certificat SSL, lorsqu’on accède au site via un navigateur, on obtient une alerte ou une page assez anxiogène nous informant que la connexion n’est pas privée et évoquant même des individus malveillants tentant de subtiliser nos précieuses informations personnelles.

Dans le cas présent, s’agissant d’un site en local, c’est-à-dire un site qui est hébergé sur notre propre ordinateur, ce type de message n’est pas justifié. Mais le navigateur n’est pas en mesure de détecter cette configuration, il se fait ‘gruger’ et nous affiche donc cette alerte.
Dans les faits, qui plus est, le navigateur se trompe : la connexion est bien ‘privée’, c’est-à-dire que les flux de données échangés entre notre site local et le navigateur sont bien cryptés, on est en https://.
En revanche, là où il a raison, c’est que le certificat ne peut pas être ‘certifié’ par une autorité de certification. C’est la définition même d’un certificat ‘auto-signé’.
C’est comme si, lors d’un contrôle d’identité, l’agent de police n’avait que votre seule parole pour vous croire lorsque vous lui dites que vous n’avez pas vos papiers sur vous, mais que vous vous appelez Jacques Dupond. Faute d’une pièce d’identité certifiée, l’agent n’est pas en mesure de savoir si vous êtes bien celui que vous déclarez être.
C’est la même chose avec un certificat SSL ‘auto-signé’.

Nous allons donc en venir au réel sujet de cette vidéo et faire en sorte de ne plus afficher ce type de message lorsqu’on accède à notre site en local.

Pour cela, on va utiliser un logiciel fourni en standard avec MacOS X : il s’agit du ‘Trousseau d’accès’, que vous trouverez dans le dossier “Applications”… puis le dossier “Utilitaires”… 
Voici le “Trousseau d’accès”… et on le lance.

Là, assurez-vous de cliquer sur ‘Certificats’ dans la rubrique ‘Catégories’ afin de réduire le contenu des éléments listés aux seuls certificats.

Dans la rubrique ‘Trousseaux’, vous pouvez sélectionnez soit “Session”, soit “Système” :

• Ce que vous mettrez dans “Système” s’appliquera à toutes les ‘sessions’, c’est-à-dire, à tous les comptes utilisateurs de ce Mac.
• Ce que vous mettrez dans “Session” ne s’appliquera qu’à votre session, c’est-à-dire, qu’à votre compte utilisateur…

Le but de l’opération maintenant est d’ajouter au Trousseau notre certificat SSL et d’imposer sa validité.
Il nous faut donc le certificat en lui-même. Pour cela, on va le récupérer…

…dans Mamp.
On sélectionne le site concerné… et on accède à l’onglet SSL…
Là, on clique sur l’icône de dossier des fichiers de certificat “.crt”
On sélectionne le certificat du site concerné et on le fait glisser dans la fenêtre du “Trousseau d’accès”.

Dans le Trousseau d‘accès, je peux alors double-cliquer sur le certificat qu‘on vient d‘ajouter afin d‘en réveler le contenu et, surtout, la fonctionnalité qui nous intéresse : “Se fier”… que je déroule en cliquant sur le petit triangle.

Et là, je vais changer la valeur “Réglages par défaut”, que je remplace par “Toujours approuver”.

Je ferme la fenêtre du certificat…
Je valide la modification en saisissant mon mot de passe utilisateur… et je peux fermer le Trousseau d’accès.

Maintenant, si je rafraîchis la fenêtre du navigateur…
Tadaam ! Le site s’affiche désormais sans alerte et avec le petit cadenas tant recherché !

Voilà ! J’espère que ce petit tuto vous a plu et on se retrouve lors d’une prochaine vidéo.

Salut !