Certificats

L’autorité de certification

Au premier lancement, Joppa crée une autorité de certification (CA) propre à votre utilisateur, « Joppa local CA », valable 10 ans. Sa clé privée reste sur votre machine, lisible par vous seul, dans le dossier ca/ de Joppa. Elle ne peut signer que pour des noms locaux réservés (.test, .localhost, .internal, .local, .home.arpa, .example, .invalid) : même copiée, sa clé ne permet pas de se faire passer pour un vrai site. Une CA créée par une version plus ancienne de Joppa n’a pas cette limite ; pour en changer, supprimez le dossier ca/, relancez Joppa et approuvez la nouvelle CA.

Si vous utilisez déjà mkcert, Joppa réutilise sa CA (celle de $CAROOT, sinon de l’emplacement par défaut de mkcert). Les certificats de Joppa sont alors acceptés partout où mkcert l’était déjà. Réglages › Autorité de certification indique laquelle est utilisée : « Joppa » ou « mkcert (partagée) ».

Les certificats des domaines

Joppa signe un certificat à la volée, à la première connexion à chaque domaine. Il couvre le domaine et ses sous-domaines (monprojet.test et *.monprojet.test) et vaut 397 jours, la durée maximale acceptée par les navigateurs. Il n’y a rien à générer ni à renouveler.

Faire approuver la CA

Le navigateur n’affiche le cadenas que si le système fait confiance à la CA. Au premier lancement, Joppa demande tout de suite de l’approuver : le système demande votre mot de passe, puis Joppa ajoute la CA à sa liste de confiance (sur macOS : votre trousseau de session et vos réglages de confiance). Si vous annulez, un bandeau en haut de la fenêtre propose Approuver, et un clic sur CA … non approuvée dans la barre d’état ouvre le même bouton. Réglages › Autorité de certification affiche l’état, le même bouton (Approuver l’autorité) et la commande équivalente, à lancer une fois dans un terminal si vous préférez :

Système	Commande	Vérification
macOS	sudo security add-trusted-cert -d -r trustRoot -k /Library/Keychains/System.keychain "<rootCA.pem>"	Automatique
Linux (Debian, Ubuntu)	sudo cp <rootCA.pem> /usr/local/share/ca-certificates/joppa-rootCA.crt && sudo update-ca-certificates	Non vérifiable par Joppa
Linux (Arch, Manjaro)	sudo cp <rootCA.pem> /etc/ca-certificates/trust-source/anchors/joppa-rootCA.crt && sudo update-ca-trust	Non vérifiable par Joppa
Linux (Fedora)	sudo cp <rootCA.pem> /etc/pki/ca-trust/source/anchors/joppa-rootCA.crt && sudo update-ca-trust	Non vérifiable par Joppa

La barre d’état affiche CA Joppa ok quand elle est approuvée, CA Joppa non approuvée sinon (cliquable : elle ouvre Approuver).