Przestarzała wersja TLS

Problem

Serwer nadal negocjuje SSLv3, TLS 1.0 lub TLS 1.1. Te protokoły są formalnie wycofane (RFC 8996) i podatne na znane ataki (POODLE, BEAST, słabe MAC-e).

Dlaczego to ważne

• Nowoczesne przeglądarki pokazują ostrzeżenia albo odmawiają połączenia.
• PCI-DSS i większość regulacji zakazuje TLS < 1.2.
• Wyszukiwarki traktują zepsuty TLS jako problem crawlability — strona może wypaść z indeksu.

Jak naprawić

• Wyłącz wszystko poniżej TLS 1.2 na serwerze lub load balancerze:
• nginx: ssl_protocols TLSv1.2 TLSv1.3;
• Apache: SSLProtocol -all +TLSv1.2 +TLSv1.3
• Odnów łańcuch certyfikatów, jeśli używa podpisów SHA-1.
• Zweryfikuj przez openssl s_client lub SSL Labs; audyt tutaj sprawdzi ponownie przy następnym przebiegu.

Powiązane: Zaktualizuj TLS 1.2 do 1.3 · Typy problemów DNS/TLS