Устаревшие версии TLS (1.0 и 1.1)

Какие версии протокола сервер ещё принимает. TLS 1.0 и 1.1 отозваны и отключены во всех браузерах; версию, которую не умеет сам сканер, мы не угадываем, а опускаем.

• Помощь

TLS — протокол, на котором работает HTTPS, и у него несколько версий. TLS 1.0 и 1.1 официально отозваны в RFC 8996 в 2021 году: все основные браузеры их отключили, а аудит по стандарту платёжных карт PCI DSS на них не проходит. TLS 1.2 — безопасный минимум, TLS 1.3 — актуальная версия с более быстрым рукопожатием и только современными шифрами.

Как проверяет SiteScan

Помимо обычного соединения сканер отдельно пробует рукопожатие строго по TLS 1.0 и строго по TLS 1.1. Если сервер завершает хотя бы одно, строка появляется красной и называет принятые устаревшие версии. Если ни одно не прошло, строки нет: отказ мог дать сам TLS-клиент сканера, а не ваш сервер, поэтому доказательством он не считается. Версия, по которой реально идёт соединение, показана как факт в разделе «Технологии».

Как исправить

Разрешите только современные версии:

• nginx: ssl_protocols TLSv1.2 TLSv1.3;
• Apache: SSLProtocol -all +TLSv1.2 +TLSv1.3
• За CDN или балансировщиком задайте минимальную версию TLS 1.2 в их настройках — конфиг сервера-источника там не действует.

Клиенты, умеющие только TLS 1.0, слишком стары и для нынешних браузеров. После правки запустите новую проверку.