Un fichier Docker Compose ? Votre projet est en ligne en quelques secondes, en une seule commande sur cdn.com.tr. Voir comment App créée avec l'IA ? Du dossier au live en une commande — sans git ni registry : cdnctl deploy. Voir comment Votre code sur GitHub ? Chaque push se déploie tout seul sur cdn.com.tr — connectez votre dépôt. Voir comment Commencer l’essai gratuit

Aide CDN.com.tr

Connexion authentifiée à l'origine (mTLS) : n'accepter que CDN.com.tr sur votre origine

Nos serveurs de périphérie présentent un certificat client lorsqu'ils se connectent à votre origine. Votre origine l'exige et n'accepte que le nom que vous fixez : le certificat CDN.com.tr sur tous les forfaits payants, ou un certificat réservé à votre compte sur les forfaits Enterprise. Les serveurs de périphérie peuvent aussi vérifier le certificat de votre origine.

Points de diffusion et DNS

Connexion authentifiée à l'origine (mTLS) : n'accepter que CDN.com.tr sur votre origine

Nos serveurs de périphérie présentent un certificat client lorsqu'ils se connectent à votre origine. Votre origine l'exige et n'accepte que le nom que vous fixez : le certificat CDN.com.tr sur tous les forfaits payants, ou un certificat réservé à votre compte sur les forfaits Enterprise. Les serveurs de périphérie peuvent aussi vérifier le certificat de votre origine.

Cas d'usage

Une entreprise garde son origine joignable sur internet, mais veut qu'elle ne réponde qu'aux requêtes qui passent par son propre compte CDN.com.tr, sans tenir à jour une liste d'adresses de serveurs de périphérie.

Workflow

  1. Vérifiez que votre origine répond en HTTPS sur un port dédié : sur la page Origine, le port HTTPS doit être différent du port HTTP.
  2. Sur la page Origine, ouvrez Connexion authentifiée à l'origine (mTLS) et choisissez Certificat CDN.com.tr (forfaits payants) ou Certificat réservé à ce compte (Enterprise). Enregistrez.
  3. Pour le certificat du compte, attendez que la carte n'indique plus qu'il est en cours d'installation : le certificat est d'abord placé sur tous les serveurs de périphérie de votre compte, puis activé tout seul.
  4. Téléchargez le bundle CA (cdn-com-tr-origin-pull-ca.pem) depuis la carte et configurez votre serveur web pour exiger un certificat client signé par celui-ci, en n'acceptant que le nom affiché sous Nom à accepter (CN) : l'ID de votre compte pour le certificat du compte, origin-pull.cdn.com.tr pour le certificat CDN.com.tr.
  5. Si vous le souhaitez, activez Vérifier le certificat de l'origine : le serveur de périphérie n'accepte alors qu'un certificat valide pour le nom d'hôte de votre origine (pour une origine en IP, le nom que vous saisissez), émis par une autorité publique ou par votre propre autorité (collez son certificat).

Verifications

  • Tant que cette option est activée, les serveurs de périphérie se connectent à votre origine en HTTPS, y compris pour les visiteurs HTTP, sur le port HTTPS de votre origine.
  • Le certificat CDN.com.tr prouve qu'une requête vient de CDN.com.tr, pas qu'elle vient de votre compte : conservez avec lui votre en-tête secret (par exemple X-CDN-Auth). Le certificat du compte (CN = l'ID de votre compte) est émis pour votre compte uniquement.
  • Fixez le nom (CN), jamais l'empreinte du certificat : les certificats sont renouvelés automatiquement avant leur expiration, le nom reste le même.
  • L'optimisation d'images continue de fonctionner : nos serveurs d'optimisation présentent le même certificat lorsqu'ils récupèrent vos originaux.
  • Quand votre origine exige un certificat et n'en reçoit pas, nginx répond 400 ; Apache, Caddy et IIS coupent la connexion, ce que le visiteur voit comme une erreur 502. N'activez l'exigence qu'une fois que les serveurs de périphérie présentent le certificat.
  • Avec la vérification activée, un certificat expiré, autosigné sans votre autorité ou émis pour un autre nom fait échouer la requête avec une erreur 502.

Questions frequentes

Comment exiger le certificat dans nginx ?

Dans le bloc server qui sert le CDN : ssl_client_certificate /etc/nginx/cdn-com-tr-origin-pull-ca.pem;, ssl_verify_client on;, ssl_verify_depth 2; et if ($ssl_client_s_dn !~ "(^|,)CN=<id-du-compte>(,|$)") { return 403; }. Avec le certificat CDN.com.tr, écrivez origin-pull\.cdn\.com\.tr à la place de <id-du-compte> et conservez votre contrôle X-CDN-Auth.

Comment l'exiger dans Apache ?

Dans l'hôte virtuel HTTPS : SSLCACertificateFile /etc/ssl/cdn-com-tr-origin-pull-ca.pem, SSLVerifyClient require, SSLVerifyDepth 2 ; puis, dans <Location "/">, la ligne Require expr %{SSL_CLIENT_S_DN_CN} == "<id-du-compte>".

Comment l'exiger dans Caddy ?

Dans le bloc de votre site : tls { client_auth { mode require_and_verify trust_pool file /etc/caddy/cdn-com-tr-origin-pull-ca.pem } }, puis @notcdn not expression {http.request.tls.client.subject}.matches("(^|,)CN=<id-du-compte>(,|$)") et respond @notcdn 403. trust_pool file nécessite Caddy 2.8 ou une version ultérieure.

Comment l'exiger dans IIS ?

Importez le bundle CA dans les Autorités de certification racines de confiance (la racine) et les Autorités de certification intermédiaires (l'intermédiaire) de l'ordinateur local. Dans Paramètres SSL du site, cochez Exiger SSL et réglez Certificats clients sur Exiger. Ensuite, dans l'Éditeur de configuration, sous system.webServer/security/authentication/iisClientCertificateMappingAuthentication, activez la fonction et ajoutez un mappage un-à-plusieurs avec une règle : certificateField Subject, certificateSubField CN, matchCriteria <id-du-compte>.

Ai-je encore besoin de l'en-tête secret ?

Avec le certificat CDN.com.tr, oui : tous les comptes CDN.com.tr présentent le même certificat, et c'est l'en-tête qui distingue vos requêtes. Avec le certificat du compte, le contrôle du CN n'accepte déjà que votre compte ; conserver aussi l'en-tête ne fait aucun mal.

Que se passe-t-il quand le certificat est renouvelé ?

Rien de votre côté. Les certificats sont renouvelés sur nos serveurs de périphérie avant leur expiration, auprès de la même autorité et avec le même nom, si bien que le contrôle du nom (CN) continue de passer.

Pages associees

Gérer les enregistrements DNS

Ajoutez, mettez à jour, supprimez, importez, exportez et déplacez les enregistrements éligibles vers le DNS cloud.

HTTP/3 et IPv6 sur l’edge

Depuis septembre 2026, l’edge CDN.com.tr sert chaque hostname en HTTP/3 (QUIC) et en IPv6, en plus de HTTP/2 et IPv4. Les navigateurs basculent d’eux-mêmes ; il n’y a aucun réglage par compte et votre origine peut rester en IPv4 seul.