Gestion des domaines : exigences de configuration DNS et SSL

Introduction

Un domaine est une adresse internet lisible par l’homme telle que learn.entreprise.com qui peut être utilisée, par exemple, pour accéder à des sites web et à des services de messagerie. 

Dans Docebo, les domaines peuvent être utilisés des manières suivantes : 

• Un domaine personnalisé qui vous permet de remplacer l’URL docebosaas.com de votre plateforme par un domaine de votre choix
• Un domaine secondaire qui vous permet de remplacer de la même manière l’URL basée sur un sous-dossier d’un client Extended Enterprise (par exemple, https://<entreprise>.docebosaas.com/sales) par un domaine de votre choix
• Un domaine d’envoi tel que expéditeur.net qui vous permet d’envoyer des e-mails depuis la plateforme à partir d’adresses d’expéditeur se terminant par @expéditeur.net.

Avant de pouvoir configurer un domaine sur la plateforme à l’une de ces fins, le domaine que vous utilisez doit être enregistré au nom de votre entreprise. En général, cela se fait par l’intermédiaire d’un fournisseur d’enregistrement, ou cela peut être géré par le service informatique de votre entreprise ou un fournisseur de confiance.

Après l’acquisition du domaine, vous devrez également configurer ses paramètres DNS de manière appropriée. Généralement, les serveurs DNS sont fournis par votre registraire de noms de domaine, votre fournisseur d’hébergement, ou ils sont auto-hébergés sur votre réseau d’entreprise. Si vous ne savez pas comment modifier les enregistrements DNS, il se peut que vous deviez contacter votre fournisseur pour obtenir de l’aide.

De plus, le domaine doit être protégé par un certificat SSL.

Cet article détaille les exigences de configuration DNS et SSL pour les différents types de domaines utilisés sur la plateforme.

À noter : Docebo ne fournit pas de services d’enregistrement de domaine ou de DNS et ne peut pas fournir d’assistance pour un domaine enregistré auprès d’un tiers.

N’oubliez pas que le DNS ne peut pas être configuré directement depuis la plateforme. Pour modifier les modifications de configuration DNS, nous vous recommandons de contacter votre service informatique. Sur la plateforme Docebo, vous pouvez uniquement vérifier ou valider que les paramètres que vous avez configurés avec votre fournisseur DNS correspondent à ceux requis par la plateforme elle-même.

Domaines de messagerie (SPF, DKIM, MX)

Pour un domaine d’envoi, les enregistrements DNS suivants sont requis :

• SPF (Sender Policy Framework) - garantit que seuls les serveurs autorisés peuvent envoyer des e-mails depuis votre domaine
• DKIM (DomainKeys Identified Mail) - utilisé pour vérifier que les messages n’ont pas été altérés lors de leur transit
• MX (Mail Exchanger) - spécifie le serveur de messagerie chargé d’accepter les messages par e-mail pour le compte d’un nom de domaine

Sans ces enregistrements DNS, les e-mails peuvent sembler être envoyés, mais ils risquent d’être marqués comme spam, ou d’être complètement rejetés par le serveur récepteur.

v=spf1 mx include:docebosaas.com ~all

include:docebosaas.com

Lors de la configuration d’un domaine de messagerie :

• Si vous choisissez d’utiliser le service de messagerie intégré, alors l’interface utilisateur affichera les enregistrements SPF et DKIM que vous devez utiliser dans les paramètres DNS pour ce domaine. Vous pouvez ensuite utiliser le bouton Tester la configuration DNS pour vérifier l’exactitude de celle-ci. Assurez-vous d’abord de prévoir le temps de propagation de l’enregistrement DNS. 
• Si vous choisissez plutôt l’option Serveur SMTP personnalisé, vous devez alors contacter votre fournisseur SMTP pour vérifier que les enregistrements DNS nécessaires sont en place.

Astuce pour l’hébergement Amazon Route 53 : le service DNS Route53 ne permet pas aux valeurs de dépasser 255 caractères. Par conséquent, vous pouvez rencontrer une erreur en tentant de coller la valeur DKIM copiée de la plateforme dans la console de Route 53. Cela peut être résolu en scindant la chaîne de l’enregistrement, comme décrit dans l’article d’AWS Résoudre l’erreur d’enregistrement texte DKIM (s’ouvre dans un nouvel onglet).

Domaines personnalisés et domaines secondaires (CNAME, CAA)

Enregistrement CNAME

Aussi bien pour un domaine personnalisé que pour un domaine secondaire, le nom de domaine que vous avez acquis doit être configuré de manière à pointer vers l’URL principale de votre plateforme docebosaas.com.

Pour accomplir cette redirection, vous devez mettre à jour les enregistrements DNS de votre domaine, en fournissant un enregistrement CNAME qui se résout vers l’adresse de la plateforme cible souhaitée.

À noter : la cible sera la même pour tous les domaines personnalisés ou secondaires que vous configurez : ils doivent tous se résoudre vers l’URL principale de votre plateforme docebosaas.com.

Astuce : l’enregistrement CNAME lie un nom de domaine à un alias ; un autre nom de domaine sous lequel la même offre peut être atteinte. C’est différent d’un enregistrement A ou AAAA, qui associe un nom de domaine directement à une adresse IP numérique.

Vous pouvez vérifier l’enregistrement CNAME d’un domaine personnalisé ou secondaire directement depuis la Gestion des domaines, en cliquant sur le bouton Tester la configuration. Assurez-vous d’abord de prévoir le temps de propagation de l’enregistrement DNS. 

Enregistrement CAA

Certains fournisseurs DNS prennent en charge un enregistrement CAA (Certification Authority Authorization) qui spécifie quelles autorités de certification (CA) peuvent émettre des certificats SSL pour un domaine. Si aucun enregistrement CAA n’est présent, n’importe quelle autorité de certification peut émettre un certificat pour le domaine.

Si votre domaine possède un enregistrement CAA, assurez-vous qu’il inclut l’autorité de certification que vous prévoyez d’utiliser pour générer le certificat SSL du domaine. Si vous prévoyez d’utiliser un certificat géré par la plateforme, consultez le chapitre Certificats SSL Let’s Encrypt (gérés par la plateforme).

Conflit entre les enregistrements SPF et CNAME

Ne réutilisez pas un domaine de messagerie en tant que domaine personnalisé ou secondaire, car les configurations DNS requises peuvent entrer en conflit : la plupart des services DNS ne permettent pas qu’un enregistrement CNAME et un enregistrement SPF coexistent pour le même domaine.

Temps de propagation de l’enregistrement DNS

Lors de l’ajout d’un enregistrement DNS, veuillez prévoir un délai adéquat pour que l’enregistrement se propage correctement avant de tester votre domaine. De plus, si vous modifiez un enregistrement existant, veuillez laisser s’écouler le TTL (Time to Live) de l’ancien enregistrement avant de tenter d’utiliser le nouveau.

Certificats SSL Let’s Encrypt (gérés par la plateforme)

Chaque domaine personnalisé ou secondaire doit être entièrement protégé par un certificat SSL. Ceci est obligatoire pour configurer le domaine sur la plateforme. Vous pouvez opter pour fournir votre propre certificat SSL auprès d’une autorité de certification, ou vous pouvez choisir d’utiliser un certificat géré par la plateforme.

Les certificats gérés par la plateforme sont générés via un service externe, Let’s Encrypt (s’ouvre dans un nouvel onglet).

À noter :

• Si la configuration DNS d’un domaine n’est pas remplie, parce que l’enregistrement CNAME est manquant ou n’est pas visible, la plateforme ne peut pas créer de certificat Let’s Encrypt pour ce domaine.
• Certains fournisseurs tels que Cloudflare peuvent effectuer l’aplatissement de CNAME (CNAME flattening) par défaut. Cela empêche l’enregistrement CNAME d’être renvoyé comme prévu, ce qui bloque par la suite la création du certificat Let’s Encrypt. Consultez le chapitre Compatibilité avec Cloudflare.
• Si la configuration DNS de votre domaine possède un enregistrement CAA défini qui n’autorise pas pasletsencrypt.org, ou si aucun enregistrement CAA n’est défini mais que le fournisseur DNS répond incorrectement aux requêtes CAA, la création d’un certificat Let’s Encrypt échouera. Plus d’informations sur Let’s Encrypt et CAA (s’ouvre dans un nouvel onglet)

Dans tous ces cas, la création d’un certificat géré par la plateforme échouera.

Certificats SSL et CDN Cloudfront

Pour les clients qui utilisent la fonctionnalité de cookie signé CDN Cloudfront sur leur plateforme, veuillez tenir compte des éléments suivants :

• L’option de certificat géré par la plateforme (Let’s Encrypt) n’est pas prise en charge pour le CDN Cloudfront. Même si la génération du certificat semble réussir, lorsque les visiteurs accèdent à l’URL du domaine, ils rencontreront une erreur indiquant que le certificat SSL n’est pas valide ou a expiré.

Vous pouvez utiliser un certificat SSL personnalisé à la place, bien qu’une procédure supplémentaire soit requise pour le configurer correctement pour votre domaine : après avoir téléversé le certificat SSL et associé le domaine de manière habituelle (voir l’article Gestion des domaines : Certificats SSL personnalisés), vous devez contacter l’assistance Docebo pour qu’il soit activé.

Compatibilité avec Cloudflare

Les domaines enregistrés via Cloudflare et les certificats émis par Cloudflare peuvent fonctionner, mais nous ne pouvons pas en garantir la prise en charge ni fournir un dépannage pour leur configuration. Docebo vous recommande de contacter votre représentant Cloudflare pour toute demande de dépannage.

• En particulier, un problème connu est l’« aplatissement de CNAME » (CNAME flattening) (s’ouvre dans un nouvel onglet), qui peut empêcher la validation de l’enregistrement CNAME d’un domaine par des services tiers. Cela peut par la suite empêcher Let’s Encrypt ou d’autres autorités de certification de générer un certificat pour ce domaine.
  Par conséquent, la création d’un certificat géré par la plateforme échouera.
• L’enregistrement CNAME renvoyé de manière incorrecte interfère également avec la Gestion des domaines, ce qui entraîne l’utilisation d’un certificat SSL différent de celui enregistré sur la plateforme. Cela peut entraîner des erreurs de serveur lors de la tentative de chargement de certaines pages de widgets.