Configurar CONTENTdm con SSL para admitir HTTPS
Compatibilidad con SSL para URLs personalizadas de CONTENTdm
Si ha configurado una URL personalizada de CONTENTdm en el dominio de su institución, debe tomar medidas para que se configure y funcione con HTTPS. Sin compatibilidad con HTTPS, sus usuarios recibirán advertencias de que su sitio de CONTENTdm no es seguro.
Para configurar su URL personalizada de CONTENTdm para HTTPS, OCLC introduce información sobre el certificado SSL de su URL personalizada de CONTENTdm en sus sistemas. La información sobre su certificado SSL se encuentra en un archivo llamado PKCS #12.
Su personal de TI debe generar su PKCS n.º 12 (o .p12 o .pfx) archivo, porque requiere acceso a sus claves de cifrado privadas y a sus archivos de certificado SSL. La organización a la que usted compró un certificado SSL normalmente le proporcionará herramientas para generar un archivo PKCS #12 para compartir.
Nota:
- OCLC no puede obtener ni comprar un certificado SSL para una URL personalizada de CONTENTdm en el dominio de su institución.
- OCLC no puede generar este archivo PKCS #12 para usted. Algunos sitios web sugieren que debe generar el archivo PKCS #12 en la máquina donde lo instalará. Esto no es cierto. El archivo PKCS #12 puede ser preparado en cualquier máquina o sistema operativo.
- No envíe ningún archivo a OCLC aparte de su archivo PKCS #12. Enviar a cualquier persona su archivo de clave privada u otros archivos de certificado SSL asociados representa un grave riesgo de seguridad para su institución.
- No envíe una solicitud de firma de certificado (CSR) a OCLC ni solicite al personal de OCLC que genere una CSR para usted. OCLC no ofrece servicios de RSC. Al igual que el PKCS n.º 12, no es necesario generar un CSR en el servidor web que ejecuta CONTENTdm.
- CONTENTdm se ejecuta en un servidor Apache.
O bien, puede que desee tomar el camino fácil que se describe en URLs personalizadas de CONTENTdm.
Su personal de TI puede generar un archivo PKCS #12 utilizando el comando OpenSSL en cualquier máquina que tenga acceso a sus claves privadas. Para un dominio de sitio hipotético de CONTENTdm, digital.hawkins.edu, las opciones de la línea de comandos para generar el archivo PKCS #12 correspondiente son:
openssl pkcs12 -export -out mycert.p12 -inkey hawkinspkey.pem -in digitalhawkinscert.pem -certfile intermediatecert.pem
En el ejemplo anterior, mycert.p12 es el nombre del archivo cifrado PKCS #12. Su archivo PKCS #12 es lo único que usted debe enviar a OCLC.
Los demás archivos utilizados en este comando son:
- hawkinspkey.pem: el archivo de clave privada
- digitalhawkinscert.pem: el archivo del certificado de dominio
- intermediatecert.pem: el archivo de certificado que asocia el certificado de dominio con la autoridad certificadora raíz (CA)
Las áreas frecuentes de dificultad en la creación y gestión de certificados SSL incluyen el acceso a la clave privada y la generación del CSR, ya que este hace referencia a la clave privada. Su proveedor de SSL le proporcionará una clave privada, o usted puede generar su propio archivo de clave privada. Proteja siempre el acceso externo a su clave privada. Siempre que la clave privada utilizada en su CSR coincida con la clave privada utilizada cuando se generen los certificados SSL e intermedios, todo debería funcionar. Su proveedor de SSL puede proporcionarle una herramienta en línea para generar el CSR y la clave privada, o puede utilizar OpenSSL para generar una. El comando de OpenSSL para crear una CSR se vería así:
openssl req -nodes -newkey rsa:2048 -sha256 -keyout ejemplo.key -out ejemplo.csr
Si su proveedor de SSL le proporciona un .crt individual o .pem archivos o un archivo de paquete como .p7b (PKCS #7), usted tiene algunos de los componentes individuales del paquete PKCS #12.
Una vez que obtenga su archivo p12/pfx, pruébelo desde OpenSSL para verificar que se pueda abrir antes de enviarlo al servicio técnico:
openssl pkcs12 -info -in mycert.p12
Además, si su archivo p12/pfx requiere una contraseña para abrirse, por favor proporcione la contraseña al Soporte además de su archivo p12/pfx.
Nota: Asegúrese de seguir la fecha de vencimiento de su certificado SSL. Cuando el certificado esté a punto de caducar, deberá repetir el proceso de generación del certificado y enviar un nuevo archivo PKCS #12 a OCLC para continuar accediendo a su sitio de CONTENTdm.
Por favor, inicie el proceso de preparación del nuevo archivo PKCS#12 con anticipación, al menos un mes antes de la fecha de vencimiento. Envíe su nuevo archivo PKCS#12 a Soporte de OCLC a más tardar 2 semanas antes de la fecha de vencimiento. De lo contrario, corre el riesgo de perder el acceso seguro a su sitio web.
O bien, puede que desee tomar el camino fácil que se describe en URLs personalizadas de CONTENTdm.
Una vez que haya creado su certificado SSL, siga las instrucciones descritas en Avanzado: Use una URL en el dominio de su institución para completar el proceso.