Stockage compatible S3

Comment déployer automatiquement des certificats SSL vers n’importe quel bucket de stockage d’objets compatible S3.

Vue d’ensemble

AutoSSL peut envoyer automatiquement les fichiers de certificat SSL vers n’importe quel bucket de stockage d’objets compatible S3. Vous indiquez un point de terminaison HTTPS et le nom du bucket. Ce fournisseur convient à MinIO, Wasabi, Ceph et aux autres services compatibles S3 qui n’ont pas de fournisseur dédié.

Chaque certificat est archivé dans un chemin versionné et mis à jour sous un chemin latest/, afin que les services en aval le trouvent facilement (par exemple Nginx, Caddy ou des scripts qui récupèrent les certificats depuis le stockage d’objets).

Pour gérer et lancer ce déploiement, consultez la section Gestion des déploiements.

Paramètres de configuration

Lorsque vous ajoutez ou modifiez cette cible de déploiement dans la console AutoSSL, renseignez les paramètres suivants :

Paramètre	Description	Exemple
Point de terminaison	URL HTTPS de l’API compatible S3. Les points de terminaison HTTP ne sont pas acceptés.	`https://minio.example.com`
Région	(Facultatif) Région utilisée pour signer les requêtes. La valeur par défaut est `us-east-1`. Utilisez celle qu’exige votre fournisseur.	`us-east-1`
Nom du bucket	Nom du bucket vers lequel envoyer les fichiers de certificat.	`my-ssl-certs`
Préfixe de clé d’objet	(Facultatif) Préfixe pour ranger les fichiers de certificat dans le bucket. S’il est défini, les fichiers sont envoyés sous ce préfixe. La barre oblique finale est facultative.	`certs/example.com/`
Forcer le style chemin	(Facultatif) Active les URL de style chemin (`https://endpoint/bucket/key`). Activez cette option pour MinIO et certains services compatibles S3 auto-hébergés.	`true` (pour MinIO)

Le point de terminaison doit utiliser HTTPS. AutoSSL refuse les points de terminaison HTTP pour des raisons de sécurité.

Fonctionnement

Lorsque AutoSSL déploie un certificat vers un bucket compatible S3 (par exemple my-ssl-certs, avec le préfixe certs/example.com/), il procède ainsi :

Préparation du certificat :
- Découpe la chaîne complète en fichiers PEM distincts : cert.pem (certificat feuille), privkey.pem (clé privée encodée en PKCS#8), chain.pem (chaîne intermédiaire) et fullchain.pem (chaîne complète).
- Génère un fichier README.md avec les métadonnées du certificat et un lien vers https://autossl.dev, pour pouvoir le retrouver.
- Lit la date notBefore et l’empreinte SHA1 du certificat afin de nommer le répertoire d’archive (format : YYYY-MM-DD_<first 8 chars of SHA1>).
Envoi des fichiers :
- Envoie les fichiers du certificat (quatre fichiers PEM et README.md) vers deux chemins dans le bucket :
  - Chemin d’archive — certs/example.com/2026-05-30_e5f6a7b8/cert.pem (ainsi que privkey.pem, chain.pem, fullchain.pem et README.md). Ce chemin est propre à chaque émission et n’est jamais écrasé.
  - Chemin latest — certs/example.com/latest/cert.pem (ainsi que privkey.pem, chain.pem, fullchain.pem et README.md). Ce chemin correspond toujours au dernier certificat envoyé.

Le chemin latest/ permet aux services en aval de toujours récupérer le certificat courant depuis une clé d’objet fixe. Les certificats précédents restent accessibles dans leurs répertoires d’archive versionnés.

Exemple de structure du bucket

Après plusieurs renouvellements, la structure ressemble à ceci :

certs/example.com/
├── 2026-03-01_a1b2c3d4/
│   ├── cert.pem
│   ├── privkey.pem
│   ├── chain.pem
│   ├── fullchain.pem
│   └── README.md
├── 2026-05-30_e5f6a7b8/
│   ├── cert.pem
│   ├── privkey.pem
│   ├── chain.pem
│   ├── fullchain.pem
│   └── README.md
└── latest/
    ├── cert.pem
    ├── privkey.pem
    ├── chain.pem
    ├── fullchain.pem
    └── README.md

Format de clé privée

privkey.pem est encodé au format PKCS#8 (-----BEGIN PRIVATE KEY-----). Les serveurs et outils récents le prennent en charge (Nginx, Caddy, Traefik, OpenSSL 1.1+, etc.).

Si votre environnement exige le format PKCS#1 (par exemple -----BEGIN RSA PRIVATE KEY----- pour une clé RSA), convertissez-le localement avant de l’utiliser :

openssl rsa -in privkey.pem -out privkey-pkcs1.pem

Clé d’accès requise

Ce fournisseur exige des identifiants de stockage compatible S3.

Autorisations requises

La clé d’accès doit pouvoir envoyer des objets vers le bucket cible. Au minimum, l’action S3 suivante est nécessaire :

s3:PutObject sur le bucket cible (ou sur le préfixe du bucket)

Pour MinIO, accordez à l’utilisateur une politique qui autorise s3:PutObject sur le bucket cible.

Dépannage

Symptôme	Piste de correction
Connexion refusée ou erreur DNS	Vérifiez que l’URL du point de terminaison est correcte et joignable depuis AutoSSL.
Accès refusé	Vérifiez que la clé d’accès dispose de l’autorisation `PutObject` sur le bucket.
Signature non concordante	Essayez une autre valeur de Région, celle qu’exige votre fournisseur.
Bucket introuvable avec un point de terminaison personnalisé	Activez Forcer le style chemin (courant avec MinIO).

Stockage compatible S3

Sur cette page