Организация безопасного HTTPS сервера средствами Python

Расширенные примеры и нестандартные сценарии

Ниже приведены более сложные и узкоспециализированные примеры настройки HTTPS в Python.

Программная генерация самоподписанного сертификата на Python

Вместо вызова OpenSSL из командной строки можно сгенерировать сертификат средствами библиотеки cryptography. Установите её: pip install cryptography.

from cryptography import x509
from cryptography.x509.oid import NameOID
from cryptography.hazmat.primitives import hashes
from cryptography.hazmat.primitives.asymmetric import rsa
from cryptography.hazmat.backends import default_backend
import datetime

# Создание приватного ключа
key = rsa.generate_private_key(
    public_exponent=65537,
    key_size=2048,
    backend=default_backend()
)

# Создание самоподписанного сертификата
subject = issuer = x509.Name([
    x509.NameAttribute(NameOID.COUNTRY_NAME, u'RU'),
    x509.NameAttribute(NameOID.ORGANIZATION_NAME, u'Test'),
    x509.NameAttribute(NameOID.COMMON_NAME, u'localhost'),
])
cert = x509.CertificateBuilder().subject_name(
    subject
).issuer_name(
    issuer
).public_key(
    key.public_key()
).serial_number(
    x509.random_serial_number()
).not_valid_before(
    datetime.datetime.utcnow()
).not_valid_after(
    datetime.datetime.utcnow() + datetime.timedelta(days=365)
).sign(key, hashes.SHA256(), default_backend())

# Сохранение в файлы
with open('key_crypto.pem', 'wb') as f:
    f.write(key.private_bytes(
        encoding=serialization.Encoding.PEM,
        format=serialization.PrivateFormat.TraditionalOpenSSL,
        encryption_algorithm=serialization.NoEncryption()
    ))
with open('cert_crypto.pem', 'wb') as f:
    f.write(cert.public_bytes(serialization.Encoding.PEM))

print('Сертификат и ключ сгенерированы' )

Результат: два файла (key_crypto.pem, cert_crypto.pem) готовы к использованию.

Настройка HTTPS с поддержкой HTTP/2

Для HTTP/2 требуется библиотека hyper-h2 или использование aiohttp с включённой поддержкой HTTP/2 через async_timeout. Но самый простой способ - использовать nghttp2 и Python обёртку python-nghttp2. Пример с aiohttp (начиная с версии 3.0) поддерживает HTTP/2 если установлена библиотека aiohttp[h2].

Установка: pip install aiohttp h2. Код остаётся тем же, что и в разделе про aiohttp, но теперь сервер автоматически использует HTTP/2 для совместимых клиентов.

Использование Let's Encrypt для получения валидного сертификата

Для продакшена необходимо получить сертификат от удостоверяющего центра. Проще всего воспользоваться клиентом certbot от Let's Encrypt.

sudo certbot certonly --standalone -d example.com --preferred-challenges http

После выполнения сертификаты будут сохранены в /etc/letsencrypt/live/example.com/fullchain.pem и privkey.pem. Затем используйте их в любом из рассмотренных серверов, указав полные пути. Для автоматического обновления добавьте задачу в cron:

0 0 * * * /usr/bin/certbot renew --quiet

Результат: сертификат обновляется каждые 60 дней без вмешательства.

Клиент для проверки HTTPS сервера (Python)

Чтобы проверить работу сервера, можно написать простой HTTPS клиент, который игнорирует ошибки сертификата (для самоподписанных).

import urllib.request
import ssl

ssl_ctx = ssl.create_default_context()
ssl_ctx.check_hostname = False
ssl_ctx.verify_mode = ssl.CERT_NONE

req = urllib.request.Request('https://localhost:8443')
response = urllib.request.urlopen(req, context=ssl_ctx)
print(response.read().decode())

Если сервер работает, клиент выведет содержимое ответа (например, 'Hello, HTTPS!').

Ограничение доступа по IP и базовая авторизация

Комбинируя HTTPS с обработчиком, можно добавить проверку IP и авторизацию. Пример для встроенного http.server::

import http.server
import ssl

class RestrictedHandler(http.server.BaseHTTPRequestHandler):
    allowed_ips = ['127.0.0.1', '192.168.1.100']

    def do_GET(self):
        if self.client_address[0] not in self.allowed_ips:
            self.send_error(403, 'Forbidden')
            return
        # Базовая проверка Authorization
        auth = self.headers.get('Authorization')
        if not auth or auth != 'Bearer secret123':
            self.send_response(401)
            self.send_header('WWW-Authenticate', 'Bearer realm="example"')
            self.end_headers()
            return
        self.send_response(200)
        self.send_header('Content-type', 'text/plain')
        self.end_headers()
        self.wfile.write(b'Access granted!')

server_address = ('', 8443)
httpd = http.server.HTTPServer(server_address, RestrictedHandler)
context = ssl.SSLContext(ssl.PROTOCOL_TLS_SERVER)
context.load_cert_chain('cert.pem', 'key.pem')
httpd.socket = context.wrap_socket(httpd.socket, server_side=True)
httpd.serve_forever()

Такой сервер разрешает доступ только с определённых IP и требует токен в заголовке Authorization.

Результат работы (проверка через curl):

$ curl -k -H 'Authorization: Bearer secret123' https://localhost:8443/
Access granted!

$ curl -k https://localhost:8443/
Unauthorized (401)