B2-12 Services web, HTTPS et reverse proxy Traefik

1. Le web en une requête

Le web repose sur le protocole HTTP (HyperText Transfer Protocol) : un client (navigateur, application, commande curl) envoie une requête à un serveur, qui renvoie une réponse. HTTP fonctionne au-dessus de TCP, sur le port 80 ; HTTPS ajoute une couche de chiffrement TLS, sur le port 443.

• https://Le protocole (schéma). http : en clair, port 80 par défaut ; https : chiffré, port 443 par défaut.
• intranet.broceliande.lanLe nom d'hôte, que le client résout en adresse IP grâce au DNS. Il est aussi envoyé au serveur dans l'en-tête Host : c'est grâce à lui qu'un même serveur héberge plusieurs sites.
• :443Le port TCP, facultatif quand c'est la valeur par défaut du protocole.
• /rh/conges.htmlLe chemin de la ressource demandée sur le serveur.

1.1 Les méthodes et les codes de réponse

2. Apache et Nginx : publier un site

Les deux serveurs web les plus répandus sous Linux sont Apache (httpd) et Nginx. Tous deux savent servir des fichiers, exécuter une application (PHP par exemple) et héberger plusieurs sites sur une même machine grâce aux hôtes virtuels.

server {
    listen 80;
    server_name intranet.broceliande.lan;     # nom attendu dans l'en-tête Host
    root /var/www/intranet;                   # dossier des pages du site
    index index.html;
    access_log /var/log/nginx/intranet.access.log;
    error_log  /var/log/nginx/intranet.error.log;
}

<VirtualHost *:80>
    ServerName intranet.broceliande.lan
    DocumentRoot /var/www/intranet
    ErrorLog ${APACHE_LOG_DIR}/intranet-error.log
    CustomLog ${APACHE_LOG_DIR}/intranet-access.log combined
</VirtualHost>
# puis : sudo a2ensite intranet && sudo apache2ctl configtest && sudo systemctl reload apache2

2.1 Lire une ligne de journal d'accès

172.16.20.1 - - [14/Nov/2026:09:12:44 +0100] "GET /rh/conges.html HTTP/1.1" 200 5320 "-" "Mozilla/5.0 (Windows NT 10.0…)"

• 172.16.20.1Adresse IP du client (ici PC-COMPTA). Derrière un reverse proxy, c'est l'adresse du proxy : la vraie adresse est transmise dans l'en-tête X-Forwarded-For.
• [14/Nov/2026:09:12:44 +0100]Date et heure de la requête : d'où l'importance d'une horloge juste (NTP).
• "GET /rh/conges.html HTTP/1.1"La méthode, le chemin demandé et la version du protocole.
• 200 5320Le code de réponse et la taille de la réponse en octets.
• "Mozilla/5.0 …"Le User-Agent : navigateur ou outil utilisé par le client.

3. HTTPS et les certificats

En HTTP, tout circule en clair : un poste qui écoute le réseau lit les pages, les cookies de session et les mots de passe. HTTPS encapsule HTTP dans TLS, qui apporte trois garanties : la confidentialité (chiffrement), l'intégrité (rien n'est modifié en route) et l'authentification du serveur (on parle bien à intranet.broceliande.lan, grâce à son certificat).

3.1 Quel certificat choisir ?

4. Le reverse proxy : un seul point d'entrée

Un reverse proxy (mandataire inverse) se place devant les serveurs web. Les clients ne s'adressent qu'à lui ; il lit le nom demandé (en-tête Host) et transmet la requête au bon service interne, puis renvoie la réponse. À l'inverse, un proxy classique se place devant les clients pour filtrer leurs accès à Internet.

4.1 Ce qu'apporte un reverse proxy

• Point d'entrée uniqueUn seul serveur exposé (ports 80 et 443), les applications restent sur le réseau interne.
• Terminaison TLSLes certificats sont gérés à un seul endroit ; le proxy déchiffre puis transmet en HTTP aux services internes.
• Routage par nomChaque nom (en-tête Host) mène à son application, sans numéro de port à retenir.
• Répartition de chargePlusieurs serveurs identiques derrière un même nom : le proxy répartit les requêtes et écarte un serveur en panne (B2-25).
• SécuritéEn-têtes de sécurité, authentification, limitation de débit ajoutés sans toucher aux applications (B3-14).

4.2 Les reverse proxy les plus connus

Au labo et dans cette fiche, on utilise Traefik, configuré uniquement par des fichiers : c'est lisible, versionnable dans Git et indépendant de la façon dont les applications sont installées (paquet, VM, conteneur).

5. Traefik : les quatre briques

Traefik traite chaque requête en suivant toujours le même chemin. Retenir ces quatre mots, c'est savoir lire n'importe quelle configuration Traefik.

5.1 Configuration statique et configuration dynamique

6. Configurer Traefik en fichiers dynamiques

6.1 La configuration statique

entryPoints:
  web:
    address: ":80"
    http:
      redirections:              # tout le trafic HTTP est renvoyé vers HTTPS (code 301)
        entryPoint:
          to: websecure
          scheme: https
  websecure:
    address: ":443"

providers:
  file:
    directory: /etc/traefik/dynamic   # un fichier par service publié
    watch: true                       # rechargement à chaud

api:
  dashboard: true                     # tableau de bord, publié par un routeur protégé

log:
  level: INFO
accessLog: {}                         # journal des requêtes

6.2 Un fichier dynamique par service

http:
  routers:
    intranet:
      rule: "Host(`intranet.broceliande.lan`)"
      entryPoints: [websecure]
      service: intranet
      middlewares: [securite]
      tls: {}                          # HTTPS, avec le certificat déclaré plus bas

  services:
    intranet:
      loadBalancer:
        servers:
          - url: "http://127.0.0.1:8080"   # l'application, joignable en HTTP interne

  middlewares:
    securite:
      headers:
        stsSeconds: 31536000           # HSTS : le navigateur n'utilisera plus que HTTPS
        frameDeny: true                # interdit l'affichage dans un cadre (clickjacking)
        contentTypeNosniff: true

tls:
  certificates:
    - certFile: /etc/traefik/certs/intranet.crt
      keyFile: /etc/traefik/certs/intranet.key

• ruleLa condition qui sélectionne les requêtes : Host(`…`) pour un nom, PathPrefix(`/api`) pour un chemin, combinables avec &&. Attention aux accents graves autour du nom.
• entryPointsLes ports sur lesquels ce routeur écoute : ici seulement websecure.
• serviceLe nom du service vers lequel envoyer, défini dans la section services.
• middlewaresLa liste, dans l'ordre, des traitements appliqués au passage.
• tlsActive HTTPS sur ce routeur. Traefik choisit, parmi les certificats déclarés, celui dont le nom correspond.

6.3 Publier le tableau de bord, protégé

http:
  routers:
    dashboard:
      rule: "Host(`traefik.broceliande.lan`)"
      entryPoints: [websecure]
      service: api@internal            # service interne de Traefik
      middlewares: [admin-auth]
      tls: {}
  middlewares:
    admin-auth:
      basicAuth:
        users:
          - "admin:$apr1$…"            # empreinte produite par : htpasswd -nb admin MotDePasse

7. Sécuriser un service web

8. Vérifier et dépanner

8.1 Les outils

$ curl -I http://intranet.broceliande.lan
HTTP/1.1 308 Permanent Redirect
Location: https://intranet.broceliande.lan/

$ curl -kI https://intranet.broceliande.lan
HTTP/2 200
strict-transport-security: max-age=31536000
x-frame-options: DENY

Méthode : on remonte du client vers l'application. Le nom se résout-il (nslookup) ? Le port 443 du proxy répond-il ? Le routeur Traefik existe-t-il (tableau de bord, journaux) ? L'application répond-elle en direct, sans le proxy (curl http://127.0.0.1:8080) ?

8.2 Entraîne-toi : les tickets du support

Tu es de permanence au support de Brocéliande Logistique. Six tickets arrivent les uns après les autres : lis le message, observe le relevé, puis choisis la cause. Applique la méthode du client vers l'application.

$ curl -kI https://intranet.broceliande.lan
HTTP/2 502
$ systemctl is-active nginx
inactive

$ curl -vk https://glpi.broceliande.lan 2>&1 | grep subject
*  subject: CN=TRAEFIK DEFAULT CERT

$ sudo journalctl -u traefik --since "5 min ago"
level=error msg="Error occurred during watcher callback:
 yaml: line 4: mapping values are not allowed in this context"
 providerName=file

$ ss -tlnp | grep 3001
LISTEN 0 511   0.0.0.0:3001   0.0.0.0:*   users:(("node",pid=812))

$ ls /etc/nginx/sites-enabled/
default
$ ls /etc/nginx/sites-available/
default  intranet

127.0.0.1 - - [14/Nov/2026:10:02:11 +0100] "GET / HTTP/1.1" 200 5320
127.0.0.1 - - [14/Nov/2026:10:02:15 +0100] "GET /rh/ HTTP/1.1" 200 2104

9. À l'examen et en entreprise

10. L'essentiel

1. HTTP : le client envoie une requête (méthode, chemin, en-tête Host), le serveur renvoie une réponse avec un code. Port 80 ; HTTPS = HTTP dans TLS, port 443.
2. Codes : 2xx succès, 3xx redirection (301), 4xx erreur du client (403, 404), 5xx erreur du serveur (500, 502, 504).
3. Apache et Nginx hébergent plusieurs sites grâce aux hôtes virtuels, choisis d'après le nom demandé.
4. Toujours tester la syntaxe (nginx -t) avant de recharger (systemctl reload).
5. TLS apporte confidentialité, intégrité et authentification du serveur par son certificat ; le nom doit figurer dans le SAN.
6. Certificat : autosigné pour tester, autorité interne pour les noms .lan, Let's Encrypt (ACME) pour un nom public.
7. Le reverse proxy est le point d'entrée unique : terminaison TLS, routage par nom, répartition, sécurité.
8. Traefik : entryPoint → router → middlewares → service.
9. File provider : un fichier YAML par service dans dynamic/, rechargé à chaud ; jamais de labels Docker au labo.
10. Dépanner du client vers l'application : DNS, port 443, routeur Traefik, application en direct. Un 502 = application injoignable.

Les commandes clés

Tout cela tient sur une page : utilise le bouton Mémo à imprimer en haut de la fiche.

11. Quiz noté

12. Exercices : à toi de répondre

Écris ta réponse sous chaque énoncé et envoie-la à ton professeur. Quand il l'a validée, le corrigé s'affiche à la place du cadenas ; s'il te la renvoie « à revoir », lis son commentaire et corrige.

    intranet:
      rule: "Host(`intranet.broceliande.lan`)"
      entryPoints: [web]
      service: intranet

13. Fil rouge : l'intranet de Brocéliande Logistique