Se connecter en toute sécurité à d'autres systèmes
Connexions via HTTPS ou directement à un hôte et un port, TLS 1.2 comme protocole de base, certificats que vous téléchargez et un test qui indique précisément ce qui a échoué.
Une connexion, accessible via Plateforme → Connectivité → Intégration → Connexions, est un connecteur pointant vers un système réel : votre ancien ERP, un annuaire, un serveur de messagerie ou l’API d’un partenaire. Elle contient l’emplacement du système, la méthode d’authentification et les informations d’identification que TRANXACT lui fournit – chiffrées à l’entrée et jamais renvoyées.
Deux façons d'atteindre un système
| Transport | Ce que vous remplissez | Quand l'utiliser |
|---|---|---|
| HTTPS | URL du point de terminaison. Elle doit commencer par https:// — dans tous les environnements, y compris les environnements de test et de développement. | Une API ou un service web, accessible via Internet ou votre propre réseau. |
| Direct | Hôte (un nom ou une adresse uniquement), port et protocole. | Une base de données, un répertoire ou un port de service accessible via un chemin réseau tel qu'un VPN, une interconnexion ou un peering. |
Une connexion directe spécifie son protocole, car les systèmes initient TLS de deux manières différentes :
- TLS — TLS dès le premier octet. LDAPS, SAP HANA, SQL Server avec chiffrement strict, SMTPS, AMQPS et Kafka fonctionnent ainsi.
- postgres — PostgreSQL, qui établit une connexion en clair pendant un court instant, puis négocie le protocole TLS avant toute autre communication.
Il n'existe pas d'option en texte clair ni d'exception pour les tests uniquement. Une connexion utilisée « uniquement en test » contient de véritables identifiants dès qu'elle est copiée ; par conséquent, la règle en vigueur en production s'applique partout.
TLS 1.2 ou supérieur, et toujours vérifié
- Chaque connexion utilise le protocole TLS 1.2 ou supérieur. La version TLS la plus basse peut être utilisée pour une connexion établie ; aucune version antérieure ne peut être choisie, et la base de données la refuse également ; par conséquent, cette configuration ne peut être effectuée ni par importation ni par script.
- Le certificat du serveur est toujours vérifié. Il n'existe pas d'option « Ne pas vérifier », car une connexion acceptant n'importe quel certificat est chiffrée pour le serveur qui répond, ce qui est différent d'un chiffrement pour le système que vous visiez.
- Le nom du serveur est indiqué lorsque le certificat désigne un hôte différent de celui auquel vous vous connectez ; par exemple, si vous accédez à la base de données à l’adresse 10.20.0.15 et que son certificat indique hana.corp.local, il sert à la fois à demander le certificat approprié et à le vérifier.
- L'empreinte numérique (empreinte SHA-256 du certificat du serveur) est facultative. Si elle est définie, tout autre certificat, même valide, sera refusé. Pensez à la modifier lors du renouvellement du certificat du serveur.
Certificats
L'écran Certificats, dans la même section Intégration, affiche les certificats auxquels les connexions font confiance ou qu'elles utilisent. Il en existe deux types.
| Gentil | À quoi ça sert |
|---|---|
| CA de confiance | Une autorité de certification gérée par votre organisation. Un serveur de votre réseau possède généralement un certificat émis par votre autorité de certification, inconnu des autorités de certification publiques. Importez l'autorité de certification ici et sélectionnez-la comme autorité de certification de confiance pour la connexion. Si ce champ est laissé vide, la connexion fera confiance aux autorités de certification publiques. |
| Certificat client | Transmis par TRANXACT au serveur pour une authentification TLS mutuelle (le serveur vérifie l'identité de l'appelant et vice-versa). Après le chargement, utilisez l'option « Stocker la clé privée ». Cette clé, associée au certificat, est conservée sous clé et n'est jamais divulguée ; elle peut uniquement être remplacée. |
Collez le certificat au format PEM, de -----BEGIN CERTIFICATE----- à -----END CERTIFICATE----- ; une chaîne peut suivre. Vous n'avez pas besoin de saisir le sujet, l'émetteur, la date de validité ni l'empreinte numérique : ces informations sont extraites du certificat lui-même. La liste ne peut donc pas afficher d'éléments qui n'y figurent pas. Elle indique le nombre de jours restants, signale l'expiration ou l'expiration d'un certificat et comptabilise le nombre de connexions qui l'utilisent, vous permettant ainsi d'anticiper les problèmes de fonctionnement.
Test
Le test de connexion effectue une véritable négociation TLS vérifiée avec la destination (une seule requête pour HTTPS) et vérifie la présence d'un élément d'authentification. En cas d'échec, il indique l'étape défaillante, car un message d'erreur « connexion impossible » ne donne aucune indication sur la marche à suivre.
| Que dit le test ? | Ce qu'il faut faire |
|---|---|
| Le certificat du serveur n'est pas approuvé. | Téléchargez l'autorité de certification qui l'a émise sous « Certificats » et choisissez-la comme autorité de certification de confiance pour la connexion. |
| Le certificat ne mentionne pas cet hôte. | Indiquez le nom du serveur tel qu'il figure sur le certificat. |
| Le serveur ne propose aucune fonctionnalité à partir de TLS 1.2. | Le serveur doit être mis à niveau. TRANXACT ne descendra pas en dessous de ce seuil. |
| Le serveur demande un certificat client | Téléchargez un certificat client, stockez sa clé privée et sélectionnez-le lors de la connexion. |
Pouvons-nous nous connecter directement ?
La vérification de connexion directe répond à la question que se pose toute intégration. Elle teste l'hôte sur le port configuré et sur les ports habituels (PostgreSQL 5432, SQL Server 1433, SAP HANA 30015, 30013 et 30041, SAP Business One Service Layer 50000, Oracle 1521 et 2484, MySQL 3306, LDAPS 636, catalogue global Active Directory 3269, SMTPS 465, IMAPS 993, FTPS 990, AMQPS 5671, MQTTS 8883, Kafka 9093, 443 et 8443) depuis le réseau du serveur TRANXACT, et indique quels ports répondent et établissent une liaison TLS 1.2 ou supérieure.
- La mention « Une connexion directe est possible », suivie des ports, services et versions TLS compatibles, signifie que vous pouvez configurer la connexion en mode direct dès aujourd'hui.
- Sinon, il indique qu'un chemin réseau est nécessaire — un VPN, une interconnexion ou un peering avec cet hôte — ce qui relève d'une discussion avec le gestionnaire du réseau plutôt que d'un paramètre à configurer ici.
La liste des connexions affiche pour chaque connexion le transport, le point de terminaison, la dernière version TLS négociée et la connexion directe : possible, inaccessible ou non vérifiée.
Les adresses de métadonnées du cloud ne sont jamais sondées. Elles communiquent les identifiants du serveur à toute entité qui en fait la demande ; c’est précisément pourquoi un test de connexion ne doit en aucun cas servir à effectuer une telle demande.