Un certificat SSL sur une adresse IP ?

Récemment, nous sommes tombés sur le cas où un besoin était de fournir un certificat SSL valide mais pour une adresse IP

Le problème provenait d’un outil qui fait des tests de sécurité et indique une score. Cet outil, ne fait pas la distinction entre nom de domaine et adresse IP et attribue le même score, dès qu’un certificat auto-signé est fourni

A notre sens, cela ne sert à rien et c’est un problème de l’outil. En effet, personne ne va consulter le contenu qui est présent sur une adresse IP directement … et pour ces raisons :

• Les noms de domaine existent pour justement ne pas retenir une adresse IP mais aussi permettre d’héberger plusieurs contenus derrière la même adresse IP
• Un certificat auto-signé n’est pas grave en soit, le protocole SSL fonctionne tout de même et les échanges entre le client et le serveur sont chiffrés

Comment résoudre ce problème ?

Vu que Lets’Encrypt ne propose pas de sécuriser des adresses IP via des certificats SSL, il faut donc passer par une autre autorité de certification comme GlobalSign par exemple qui elle le propose à travers ses certificats Organization.

Cela commence à faire cher pour juste mettre en place un certificat SSL sur une adresse IP