Eski TLS sürümleri (1.0 / 1.1) hâlâ kabul ediliyor

ÖnemOrta

KapsamTüm site

EmekAz

DoğrulamaGüvenlik taraması (haftalık ya da Yeniden tara)

Kural anahtarısec_tls_legacy

Kısa cevap

Sunucunuz TLS 1.0 ya da TLS 1.1 ile, belki SSLv3 ya da SSLv2 ile de el sıkışmayı tamamlıyor. Güncel tarayıcılar bu sürümleri 2020'de bıraktı ve RFC 8996, TLS 1.0 ile 1.1'i 2021'de resmen kullanımdan kaldırdı; bunları açık tutmak neredeyse hiçbir gerçek ziyaretçiye yaramaz, ama daha zayıf seçenekleri açık bırakır. Yalnız TLS 1.2 ve TLS 1.3'e izin verin.

Neden önemli

Eski sürümler, POODLE (SSLv3) ve BEAST (TLS 1.0) gibi saldırıların kullandığı zayıf yapılara (CBC dolgu düzenleri, el sıkışma içinde MD5 ve SHA-1) dayanır. Bunları hâlâ destekleyen bir istemci daha zayıf ayarlara itilebilir; PCI DSS gibi standartlar da kart verisinin işlendiği her yerde bunların kapatılmasını şart koşar. Sıralamaya etkisi yoktur; risk eski ya da yanlış ayarlanmış istemcilerin bağlantıları ve güvenlik denetimlerinin sonucudur.

Glimana bunu nasıl tespit eder

Bu kontrol derin bir TLS testi kullanır: yalnız el sıkışma kipinde çalıştırılan açık kaynaklı testssl.sh (protokolleri ve şifreleri listeler, hiçbir açık deneme saldırısı yapmaz). Ana makine adınıza SSLv2, SSLv3, TLS 1.0 ve TLS 1.1 ile bağlanmayı dener. Bunlardan biri kabul edilirse kontrol başarısız olur: TLS 1.0 ya da 1.1 için orta, SSLv2 ya da SSLv3 kabul ediliyorsa yüksek. Derin test tarayıcıda henüz yoksa kontrol Henüz çalışmıyor, test siteniz için tamamlanamadıysa Ölçülemedi olarak görünür.

Nasıl düzeltilir

Dikkat

Değiştirmeden önce tarayıcı olmayan istemcileri düşünün: Android 4.4 ve öncesi, gömülü cihazlar ve sitenizi çağıran eski ödeme, ERP ya da izleme entegrasyonları. TLS 1.0 ve 1.1 kapanınca erişimlerini kaybederler. Apache ve Nginx'te protokol listesini yalnız bir sanal sunucuda değil, genel düzeyde ayarlayın: birkaç site aynı IP adresini paylaştığında el sıkışma varsayılan sunucunun ayarını izleyebilir.

Glimana'da bulguyu bulun. Güvenlik sayfasını açın; bu kontrol Sertifika ve HTTPS grubunda, son taramanın kanıtı başlığının altında. Aynı sorun Sorunlar › Eski TLS sürümleri (1.0 / 1.1) hâlâ kabul ediliyor altında da listelenir.
Düzeltmeyi platformunuzda uygulayın.

CloudflareNginxApachecPanel / paylaşımlı barındırma

SSL/TLS › Edge Certificates › Minimum TLS Version: TLS 1.2 seçin. Bu vekil (turuncu bulut) kayıtları kapsar; yalnız DNS kayıtlar kaynak sunucunuzun kendi ayarlarını açıkta bırakır.

ssl_protocols TLSv1.2 TLSv1.3; satırını http bloğuna koyun ki her server bloğu devralsın; tek tek server bloklarında hâlâ TLSv1 ya da TLSv1.1 içeren ssl_protocols satırlarını kaldırın ya da güncelleyin. Ardından sudo nginx -t && sudo systemctl reload nginx.

Genel SSL ayarında: SSLProtocol -all +TLSv1.2 +TLSv1.3. Diğer SSLProtocol satırlarını grep -R SSLProtocol /etc/apache2 /etc/httpd 2>/dev/null ile bulup aynı yapın, sonra Apache'yi yeniden yükleyin.

WHM erişimi olan sunucu sahipleri: Service Configuration › Apache Configuration › Global Configuration ekranında SSL/TLS Protocols listesinden TLS 1.0 ve 1.1'i çıkarıp kaydedin. Paylaşımlı barındırmada bu ayar firmaya aittir; destekten siteniz için TLS 1.0 ve 1.1'i kapatmasını isteyin.
Glimana'da kontrol edin. Güvenlik sayfasında Yeniden tara düğmesine basın (saatte en çok iki tarama) ya da pazar günkü haftalık taramayı bekleyin; kontrol geçince sorun kapanır.

Düzeltme nasıl doğrulanır

Güvenlik sayfasında Yeniden tara düğmesine basın (ya da pazar günkü haftalık taramayı bekleyin); kontrol geçtiğinde sorun kapanır.