TLS-versies: zet TLS 1.0 en 1.1 uit

TLS is het protocol achter HTTPS. Er bestaan meerdere versies, en je webserver bepaalt welke hij accepteert. De oude versies TLS 1.0 en 1.1 gelden als onveilig; een moderne server biedt alleen TLS 1.2 en TLS 1.3 aan.

Controleer je website direct

Welke versies er zijn

Bij het opzetten van een HTTPS-verbinding spreken browser en server af welke TLS-versie ze gebruiken. Ondersteunt je server nog oude versies, dan kan een verbinding in sommige situaties op een zwakkere versie uitkomen dan nodig.

TLS 1.0 (1999) en TLS 1.1 (2006): verouderd. Ze zijn in 2021 officieel afgeschreven (RFC 8996) en moderne browsers ondersteunen ze niet meer.
TLS 1.2 (2008): nog steeds veilig en breed ondersteund.
TLS 1.3 (2018): de nieuwste versie. Sneller bij het opzetten van de verbinding en zonder de zwakke onderdelen van eerdere versies.
SSL 2.0 en SSL 3.0, de voorgangers van TLS, horen al lang uit te staan.

Waarom TLS 1.0 en 1.1 uit moeten

TLS 1.0 en 1.1 gebruiken verouderde cryptografie en zijn gevoelig voor bekende aanvallen. Browsers gebruiken ze niet meer, dus ze aan laten staan levert vrijwel niets op. Alleen heel oude apparaten en programma's hebben ze nog nodig, zoals Android 4.3 en ouder, of oude versies van Internet Explorer op Windows 7 zonder updates.

Voor vrijwel elke website is het acceptabel dat die apparaten geen verbinding meer kunnen maken. Twijfel je, bijvoorbeeld omdat oude kassasystemen of scanners met je server praten, controleer dat dan eerst.

Oude versies uitzetten

Bij veel hostingpartijen, serverpanelen en CDN's stel je de minimale TLS-versie in via een instelling; bij Cloudflare heet die bijvoorbeeld Minimum TLS Version. Kies daar TLS 1.2. Beheer je de server zelf, dan stel je het in de webserver in.

nginx

ssl_protocols TLSv1.2 TLSv1.3;

Oude versies uitzetten in Apache

Gebruik je Apache, dan zet je dit in de configuratie van je virtual host of in de algemene SSL-configuratie. Herstart daarna de webserver.

Apache

SSLProtocol -all +TLSv1.2 +TLSv1.3

Zelf de TLS-versies testen

Met OpenSSL test je per versie of de server een verbinding accepteert. Lukt de verbinding met -tls1 of -tls1_1, dan staat die oude versie nog aan. Nieuwere versies van OpenSSL weigeren TLS 1.0 en 1.1 soms zelf; voeg dan -cipher 'DEFAULT:@SECLEVEL=0' toe om het toch te testen.

Terminal

openssl s_client -connect example.nl:443 -servername example.nl -tls1_1 </dev/null
openssl s_client -connect example.nl:443 -servername example.nl -tls1_2 </dev/null
openssl s_client -connect example.nl:443 -servername example.nl -tls1_3 </dev/null

Hoe SteadyHost de TLS-versies beoordeelt

In orde: de server accepteert alleen TLS 1.2 en/of TLS 1.3.
Aandachtspunt: TLS 1.0 of TLS 1.1 staat nog aan.
Probleem: TLS 1.2 en 1.3 werken allebei niet, of de server biedt geen HTTPS aan op poort 443.
Deze controle telt niet mee in de score.

Controleer je eigen website

Een gratis controle laat in enkele seconden zien hoe je website ervoor staat: bereikbaarheid, HTTPS en TLS, het SSL-certificaat, security headers, DNS en DNSSEC, de domeinregistratie en e-mailbeveiliging.