Accès web et certificats
Deux façons d'exposer le portail
Deux options, non exclusives :
Le service infrariver termine lui-même le TLS sur le port configuré (443 par défaut
sur une installation neuve, avec un certificat auto-signé généré automatiquement).
Aucun reverse proxy requis. Un certificat signé par une CA d'entreprise peut être
installé ensuite via /admin/web-tls/ (TLS du service web).
Le service écoute en local (127.0.0.1:8000 par défaut) et c'est le reverse proxy déjà
en place chez le client (nginx, Apache, HAProxy…) qui fait la terminaison TLS.
À choisir si un frontal dédié est déjà la norme dans l'environnement cible. InfraRiver ne fournit pas de paquet nginx : l'intégration se fait avec l'infrastructure déjà en place côté client.
Dans ce cas, désactivez WEB_TLS_ENABLED dans server.conf pour éviter un double TLS
(voir Configuration serveur (server.conf)).
Où sont les certificats
Les chemins des certificats ne sont pas des clés de server.conf : ils sont fixes, et le remplacement passe par l'interface.
| Usage | Emplacement | Comment le changer |
|---|---|---|
| Portail web et passerelle d'ingestion (TLS direct) | /var/lib/infrariver/tls/server.crt et server.key, auto-signés au premier démarrage |
Administration → TLS Web (/admin/web-tls/) : déposez le certificat PEM (chaîne incluse) et la clé privée ; retour à l'auto-signé possible (TLS du service web) |
| Autorité des certificats clients des collecteurs (mTLS) | /var/lib/infrariver/mtls/ca.crt, générée par l'instance |
Administration → InfraRiver Collector : émission des bundles, réémission (Collecteur mTLS) |
| Derrière votre reverse proxy | Le certificat que voit le navigateur est celui du proxy | Dans la configuration de nginx, Apache ou HAProxy, pas dans InfraRiver |
| Base MariaDB distante | Certificat de l'autorité qui signe celui du serveur MariaDB | Clé DB_SSL_CA de server.conf (Référence de server.conf) |
Certificat d'entreprise déjà présent sur le disque
Le dépôt se fait par l'interface, en une fois. Si votre certificat est renouvelé automatiquement par un outil (ACME, gestion de configuration), renouvelez-le aussi par l'interface, ou placez le portail derrière votre reverse proxy qui, lui, lit directement vos fichiers.
Limiter les noms d'accès (ALLOWED_HOSTS)
Par défaut, InfraRiver répond quel que soit le nom utilisé dans l'adresse. Pour refuser les requêtes dont l'en-tête Host est forgé, renseignez dans server.conf les noms sous lesquels vos utilisateurs joignent InfraRiver :
Toute autre requête reçoit alors une erreur 400. L'adresse réglée dans Administration → Système, LISTEN_ADDRESS et localhost restent toujours acceptés, et la passerelle d'ingestion des collecteurs n'est pas concernée (ils la joignent par adresse IP). Redémarrez le service après la modification (systemctl restart infrariver). Administration → Système affiche un avertissement tant que la clé est vide.