Pour simplifier la sécurisation des communications client-serveur, à partir de 4D v20 R4, 4D Server génère ses propres certificats SSL/TLS au lieu de s’appuyer sur des certificats par défaut. Cette fonctionnalité apporte un avantage significatif pour les environnements de test et de production : vous bénéficierez de mesures de sécurité renforcées sans avoir à fournir vos propres certificats. Laissez-moi vous expliquer ce qui va changer.
Quelles sont les nouveautés ?
Avant 4D v20 R4, 4D fournissait dans le dossier Resources du package 4D Server des certificats SSL/TLS utilisés pour les connexions du serveur d’application, de la base de données et du serveur SQL. Ces certificats étaient utiles à des fins de test mais ne convenaient pas à la production car ils étaient identiques pour tous les serveurs 4D. Vous étiez donc censé les remplacer par votre propre certificat sur vos serveurs de production.
Avec 4D v20 R4, nous avons pensé que ce système était trop compliqué pour ceux d’entre vous qui n’ont pas besoin d’utiliser des certificats spécifiques. C’est pourquoi nous avons supprimé les certificats par défaut de 4D Server. Lorsque 4D Server ouvre une application utilisant des connexions cryptées, il vérifie le dossier Resources. Si vous n’y avez pas placé vos certificats, il génère et utilise un certificat SSL/TLS temporaire.
Cette fonctionnalité simplifie le déploiement de vos serveurs d’applications, puisque vous ne devez plus fournir de certificats. Par ailleurs, elle renforce la sécurité car le serveur 4D utilisera un nouveau certificat chaque fois qu’il sera redémarré.
Remarque: 4D ne génère pas de certificats pour le serveur web : Les certificats de serveur web doivent être validés par une autorité de certification pour que les navigateurs modernes les acceptent. Les certificats temporaires ne sont donc pas valides.
J’espère que cette fonctionnalité simplifiera le déploiement de vos applications. Si vous avez des questions, n’hésitez pas à les poser sur le forum 4D. Je vous encourage également à lire le bulletin de sécurité que nous avons publié récemment.