ua
/вхід
Koval SEO

Сервер приймає застарілий набір шифрів

У звітіServer accepts obsolete cipher suites (RC4 / 3DES / EXPORT / NULL)

tls_obsolete_cipher_accepted · Потребує перегляду

Коротка відповідь

Це з’являється, коли ваш сервер завершує перевірене рукостискання, яке пропонує фіксований набір із чотирьох застарілих наборів шифрів, і узгоджує один із них: експортний набір RC4, набір RC4, набір 3DES або набір без шифрування. RFC 10015 називає всі чотири серед наборів шифрів, які визнає застарілими. Вилучіть застарілі набори з конфігурації шифрів сервера.

Серйозність: Низька.

Чому це важливо

RFC 10015 визнає застарілим обмін ключами RSA в TLS 1.2 і перелічує набори шифрів, які визнає застарілими; чотири перевірені тут набори є в цьому переліку. Сервер, який досі приймає один із них, клієнт, що не пропонує нічого іншого, може змусити його використати.

Що зробити

  1. Перегляньте знахідку: у ній названо узгоджений набір.
  2. Вилучіть набори RC4, 3DES, експортні й NULL зі списку шифрів вашого сервера чи CDN. Багато хостингів пропонують сучасний профіль TLS, який це робить.
  3. Якщо старому клієнту досі потрібен один із цих наборів, сплануйте його оновлення, перш ніж вилучати набір.

Коли залишити як є: якщо адреса — внутрішня чи застаріла точка доступу, яка має лишатися сумісною зі старим клієнтом під вашим контролем, це поки можна залишити.

Що ми читаємо

Ми один раз розв’язуємо адресу HTTPS вашого сайту й робимо невелику фіксовану кількість рукостискань TLS із цією однією адресою сервера — щонайбільше шість для всіх перевірок TLS разом. Жодна сторінка через них не запитується. До і після робиться звичайне рукостискання з перевіркою сертифіката, і обидва мають бути успішними й узгодженими.

Одне діагностичне рукостискання пропонує повний фіксований набір: TLS_RSA_EXPORT_WITH_RC4_40_MD5, TLS_RSA_WITH_RC4_128_SHA, TLS_RSA_WITH_3DES_EDE_CBC_SHA і TLS_RSA_WITH_NULL_SHA256. Для знахідки потрібне справжнє перевірене узгодження набору з цього переліку. Чистий результат, що відповідає умовам, вимагає відмови саме на цю пропозицію зі сповіщенням insufficient_security і відповідних перевірених контрольних рукостискань. Окреме локальне калібрування перевіряє, чи може бібліотека TLS аудиту запропонувати всі чотири набори; ці калібрувальні рукостискання не є додатковими запитами до вашого сайту.

Приклад і докази

Ілюстративний приклад — один аудит, а не реальний результат.

Аудит виконує тестові рукостискання із сервером bakery.example:

ordinary handshake                         TLS 1.2 negotiated, certificate verified
offer the complete four-suite set once    TLS_RSA_WITH_3DES_EDE_CBC_SHA negotiated, certificate verified
ordinary handshake                         TLS 1.2 negotiated, certificate verified

Перевірене діагностичне рукостискання узгодило набір 3DES, тому про сайт повідомляється. Можливе виправлення: сервер відхиляє ту саму повну пропозицію зі сповіщенням insufficient_security між відповідними перевіреними контрольними рукостисканнями. Невизначена відмова не доводить виправлення.

Підтвердити й перевірити знову

Перевірте самі: перегляньте список шифрів у конфігурації сервера чи CDN і пошукайте назви, що містять RC4, 3DES, EXPORT або NULL.

Повторна перевірка: Повний аудит — запустіть новий аудит сайту. Для закриття потрібно, щоб той самий повний набір із чотирьох наборів шифрів було запропоновано в одному діагностичному рукостисканні й відхилено зі сповіщенням insufficient_security, а відповідні перевірені звичайні контрольні рукостискання до і після були успішними. Відсутнє калібрування будь-якого набору, змінена пропозиція, будь-яке інше сповіщення чи неповне контрольне рукостискання залишають результат непідтвердженим.

Обмеження та джерела

Пропонуються лише ці чотири набори. Перевірка — це невелика вибірка, а не повне обстеження: проходження не показує, що вимкнено кожен слабкий набір.

Відмова з будь-яким іншим сповіщенням, зокрема загальний збій рукостискання, тайм-аут і скинуте з’єднання, лишаються непідтвердженими. Якщо власна бібліотека TLS аудиту не може запропонувати один із наборів, перевірка фіксується як невиконана й не запускається з коротшим переліком.

Перевіряється одна адреса сервера, один раз і з одного місця. Сайт, що обслуговується з кількох адрес або через CDN, який деінде відповідає інакше, там може поводитися інакше.

Упевненість: Висока, бо знахідка спирається на рукостискання, справді узгоджене з названим набором, між двома звичайними перевіреними рукостисканнями з тим самим сервером.

Джерела

Редакційна перевірка: 15 жовтня 2026