Quand la sécurité pose des problèmes

Lorsque j’ai configuré le serveur web pour ce site j’ai suivi les bonnes pratiques afin de supprimer les protocoles de sécurité obsolètes.

En suivant https://wiki.mozilla.org/Security/Server_Side_TLS j’ai naturellement adopté le Modern compatibility. Erreur. D’ailleurs cela n’apportait pas grand chose puisque j’avais une Note A.

Bien évidement tous les anciens navigateurs (IE8 existe toujours, Android 4 aussi) n’arrivent pas à afficher le site en https. Il faut donc refaire les liens ou prendre une compatibilité plus basique.

Comme ce site n’a pas d’informations sensibles, une compatilité Intermediate compatibility est maintenant configurée, c’est d’ailleurs celle recommandée par Mozilla.

Et en complément je passe à un Note A+ en utilisant Strict-Transport-Security.

Configuration NGINX 1.9.3

    listen       443 ssl default_server; # default_server important pour ANI si virtual hosts
    server_name  blog.capsiel.fr;
    access_log xxx.log;
    root   xxx;
    keepalive_timeout   300;
    ssl_session_timeout 10m;

    ssl_certificate      xx.crt;                        
    ssl_certificate_key  xx.key;     
    
    ssl_stapling on;
    ssl_stapling_verify on;
    ssl_trusted_certificate startssl.pem;
        
    ssl_prefer_server_ciphers on;       
    ssl_session_cache shared:SSL:10m;    
    ssl_protocols TLSv1.1 TLSv1.2;       
    ssl_prefer_server_ciphers on;       
    ssl_session_cache shared:SSL:10m;                                    
    
    #mozila Intermediate compatibility
    ssl_ciphers ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-AES256-GCM-SHA384:DHE-RSA-AES128-GCM-SHA256:DHE-DSS-AES128-GCM-SHA256:kEDH+AESGCM:ECDHE-RSA-AES128-SHA256:ECDHE-ECDSA-AES128-SHA256:ECDHE-RSA-AES128-SHA:ECDHE-ECDSA-AES128-SHA:ECDHE-RSA-AES256-SHA384:ECDHE-ECDSA-AES256-SHA384:ECDHE-RSA-AES256-SHA:ECDHE-ECDSA-AES256-SHA:DHE-RSA-AES128-SHA256:DHE-RSA-AES128-SHA:DHE-DSS-AES128-SHA256:DHE-RSA-AES256-SHA256:DHE-DSS-AES256-SHA:DHE-RSA-AES256-SHA:AES128-GCM-SHA256:AES256-GCM-SHA384:AES128-SHA256:AES256-SHA256:AES128-SHA:AES256-SHA:AES:CAMELLIA:DES-CBC3-SHA:!aNULL:!eNULL:!EXPORT:!DES:!RC4:!MD5:!PSK:!aECDH:!EDH-DSS-DES-CBC3-SHA:!EDH-RSA-DES-CBC3-SHA:!KRB5-DES-CBC3-SHA;

    add_header Strict-Transport-Security max-age=31536000 ; # 12 months for A+ !
    add_header X-Content-Type-Options nosniff;
    add_header X-Frame-Options DENY;
    ssl_ecdh_curve secp384r1;

    # Diffie-Hellman parameter for DHE ciphersuites, recommended 2048 bits
    ssl_dhparam xxx.pem;
SSL SHA2 A+ Class
SSL SHA2 A Class
(197 mots)