Veraltete TLS-Versionen (1.0 und 1.1)

Welche Protokollversionen der Server noch akzeptiert. TLS 1.0 und 1.1 sind zurückgezogen und in jedem Browser abgeschaltet; eine Version, die dieser Client selbst nicht spricht, wird weggelassen statt geraten.

• Hilfe

TLS ist das Protokoll unter HTTPS, und es gibt mehrere Versionen davon. TLS 1.0 und 1.1 wurden 2021 mit RFC 8996 offiziell zurückgezogen: Alle großen Browser haben sie abgeschaltet, und ein Kartenzahlungs-Audit nach PCI DSS scheitert daran. TLS 1.2 ist die sichere Untergrenze, TLS 1.3 die aktuelle Version mit schnellerem Handshake und ausschließlich modernen Cipher-Suites.

So prüft SiteScan

Neben der normalen Verbindung versucht der Scanner eigene Handshakes, die fest auf TLS 1.0 bzw. TLS 1.1 eingestellt sind. Schließt der Server einen davon ab, erscheint diese Zeile rot und nennt die akzeptierten Altversionen. Gelingt keiner, fehlt die Zeile: Die Ablehnung kann von der TLS-Bibliothek des Scanners selbst stammen, nicht von Ihrem Server, und gilt daher nicht als Beweis. Die tatsächlich verwendete Version steht als Fakt unter „Technologie“.

So beheben Sie es

Erlauben Sie nur moderne Versionen:

• nginx: ssl_protocols TLSv1.2 TLSv1.3;
• Apache: SSLProtocol -all +TLSv1.2 +TLSv1.3
• Hinter einem CDN oder Load Balancer stellen Sie dort die Mindestversion TLS 1.2 ein; die Konfiguration des Ursprungsservers greift dort nicht.

Clients, die nur TLS 1.0 sprechen, sind auch für heutige Browser zu alt. Scannen Sie danach erneut.