HTTPS et certificat

L'écran « HTTPS & certificat » donne à la box un nom et un certificat reconnu par les navigateurs : la console s'ouvre alors en adresse sécurisée, avec le cadenas.

01À quoi ça sert

Les navigateurs refusent le micro et la caméra sur une adresse qui n'est pas sécurisée. Ouverte par une simple adresse du réseau local (« http://192.168.1.50 (s'ouvre dans un nouvel onglet) »), la console ne peut ni décrocher l'interphone ni passer un appel. Le HTTPS est donc indispensable dès que vous avez un portier ou des appels.

Il apporte aussi :

• un nom stable pour la box, qui ne change pas si son adresse change ;
• une connexion chiffrée sur le réseau de la maison, y compris pour la session d'administration ;
• plus aucun avertissement du navigateur.

Ce que vous obtenez

• Un nom de la forme « c999.cert.elyxie.app », propre à votre box. Il pointe vers l'adresse privée de la box : le nom est public, la box, elle, reste invisible depuis Internet.
• Un certificat Let's Encrypt de 90 jours, renouvelé automatiquement.
• Aucun port à ouvrir sur votre box internet : rien n'entre, tout part de la box.

Ce dont vous avez besoin

• Votre identifiant client, fourni par votre fournisseur : la lettre « c » suivie de trois ou quatre chiffres.
• L'adresse IP privée de la box, fixe (bail DHCP réservé dans votre box internet).
• La box doit avoir reçu les accès au service de certificat de votre fournisseur. Ils ne se saisissent jamais dans l'application : ils arrivent avec l'installation ou une mise à jour. Tant qu'ils manquent, l'écran le signale et la fonction reste « à configurer ».

02Pas à pas

Ouvrez l'administration, puis « Avancé » › « HTTPS & certificat ».

Activer le HTTPS

1. En tête, l'état « HTTPS inactif » et l'adresse par laquelle cette page est ouverte.
2. Saisissez l'« Identifiant client » (par exemple « c999 »).
3. Vérifiez l'« Adresse IP privée du serveur Elyxie ». L'écran la préremplit avec l'adresse que votre navigateur utilise quand elle est privée : c'est en général la bonne. Une adresse publique est refusée.
4. La ligne « La console sera servie sur … » montre le nom obtenu.
5. Touchez « Activer HTTPS ».

Suivre les quatre étapes

L'écran affiche « Mise en place du certificat… » et coche les étapes une à une :

1. « Enregistrement DNS chez Cloudflare » : le nom de la box est publié vers son adresse privée ;
2. « Émission du certificat Let's Encrypt » : comptez une à deux minutes, le temps que le nom se propage ;
3. « Installation et rechargement du serveur » : la box se met à servir le HTTPS ;
4. « Vérification du nom en HTTPS » : la box essaie de se joindre elle-même. Cette dernière étape est indicative : son échec n'annule rien.

Vous pouvez quitter la page pendant l'émission : la box poursuit. À la fin, l'écran affiche « Chaîne terminée » (ou « Chaîne interrompue », avec la cause), puis « HTTPS actif », le « Nom servi » et la date d'expiration du certificat.

Vérifier depuis ce navigateur

C'est votre navigateur, pas la box, qui dit si les tablettes pourront ouvrir la console sous son nom.

1. Touchez « Vérifier depuis ce navigateur ».
2. « Ce navigateur joint … en HTTPS » : tout va bien. Le bouton « Ouvrir la console en HTTPS » vous y emmène.
3. « Ce navigateur ne joint pas encore … » : voir Dépannage.

Pensez ensuite à ouvrir la console de chaque tablette par sa nouvelle adresse sécurisée, et à refaire leur raccourci d'écran d'accueil.

Rediriger les anciennes adresses

La redirection est un réglage séparé, proposé une fois le HTTPS actif. Elle renvoie toute visite sur l'ancienne adresse (« http://… ») vers le nom sécurisé : les tablettes restées sur l'ancienne adresse basculent d'elles-mêmes.

1. Vérifiez d'abord que ce navigateur joint le nom (étape précédente). Sans cela, la redirection laisserait les écrans devant une page morte.
2. Cochez « Rediriger le port 80 vers le nom sécurisé ».

La décocher est immédiat et sans effet de bord : les navigateurs ne gardent rien en mémoire.

Entretenir le certificat

La carte « Entretien » apparaît une fois le HTTPS mis en place. Le renouvellement est automatique, dans les trente derniers jours de validité : vous n'avez rien à faire.

• L'adresse de la box a changé : corrigez l'« Adresse IP privée », puis touchez « Rejouer la chaîne ». C'est sans risque : un certificat encore valide n'est pas réémis.
• « Désactiver HTTPS » repasse la console en HTTP simple. Le certificat et le nom sont conservés : une réactivation ne réémet rien.

Forcer la réémission

Un certificat encore valide n'est normalement pas remplacé, même quand vous rejouez la chaîne : l'étape d'émission passe au vert en disant que le certificat est encore valide. Ce n'est pas une panne.

Pour obtenir vraiment un nouveau certificat :

1. Cochez « Forcer la réémission ».
2. Touchez « Réémettre (forcé) ».

La case se décoche d'elle-même après chaque tentative. La box force d'elle-même quand c'est la seule issue (un certificat qui ne couvre plus le nom demandé, par exemple après un changement d'identifiant client).

Repartir de zéro

Quand plus rien ne va, le bloc « Repartir de zéro » supprime le certificat local, pour que la prochaine activation réémette vraiment. La console repasse en HTTP ; le nom, lui, est conservé.

1. Touchez « Réinitialiser le certificat… ».
2. Lisez l'avertissement, puis touchez « Supprimer le certificat » (ou « Annuler »).

La case « Révoquer aussi auprès de Let's Encrypt » est irréversible et inutile pour réessayer : elle ne libère aucun quota et n'accélère rien. Elle ne sert que si la clé du certificat a été exposée, par exemple une sauvegarde de la box qui a fuité.

03Astuces

• Réservez l'adresse de la box dans votre box internet avant d'activer : le nom ne vaut que ce que vaut la stabilité de l'adresse.
• Activez le HTTPS dès l'installation si la maison a un portier : c'est la condition pour que l'interphone sonne et décroche sur la console.
• Une erreur d'identifiant ne casse rien : si la chaîne échoue sous un autre identifiant, la box revient aux réglages qui fonctionnaient.
• Le journal de l'administration note chaque activation, renouvellement, désactivation ou échec, source « Système ».

04Limitations

• Cinq certificats identiques par semaine au plus, c'est la limite de Let's Encrypt. Ne forcez la réémission qu'en connaissance de cause.
• Certaines box internet bloquent ce type de nom (protection dite « DNS rebind ») : le certificat est en place, mais les tablettes ne trouvent pas la box. Il faut alors autoriser le nom dans le routeur. Voir Dépannage.
• Le nom ne marche qu'à la maison : il pointe vers une adresse privée, il ne rend pas la console accessible depuis l'extérieur.
• Le port 443 de la box doit être libre : un autre serveur web qui l'occuperait déjà sur la machine empêche cette fonction.
• Pas d'accès aux réglages du service de certificat depuis l'application : ils sont fournis par votre fournisseur, avec l'installation.
• Précaution d'usage. Une sauvegarde complète de la box contient, après l'activation, de quoi agir sur le nom de la box chez le service de certificat. Gardez-la comme un mot de passe et ne la transmettez jamais.

05Voir aussi

• L'interphone : ce que le HTTPS débloque sur la console.
• Installer Elyxie : adresse fixe, ports de la box.
• Dépannage : la console injoignable après la redirection.
• Glossaire : box, console.