Pular para o conteúdo principal
Caminho no painel: menu da esquerda > Configuração > cartão Segurança > Versão do TLS e Cifras Tela Versão do TLS e Cifras no modo padrão, com as versões de TLS e a lista de cifras O ajuste vale para os quatro serviços de uma vez: o servidor web (Apache), o de e-mail que entrega (Postfix), o que guarda as caixas (Dovecot) e o de FTP (ProFTPD). As mudanças valem no minuto seguinte.

​
Padrão ou personalizado

No modo padrão, as versões e a lista de cifras aparecem na tela só para leitura, em cinza. Nesta instalação, o padrão aceita TLS 1.2 para cima, nos quatro serviços.

​
O que a versão mínima faz, medido

Marcando Configuração customizada, a Versão mínima do protocolo TLS abre quatro opções, cada uma com o texto de quando usá-la: Conferido no que os serviços respondem. Com a versão mínima em TLS 1.3, os quatro arquivos de configuração passaram a barrar o TLS 1.2, e uma conexão de teste por TLS 1.2 foi recusada no Apache, no Dovecot e no Postfix, enquanto a por TLS 1.3 foi aceita. Ao voltar para Configuração padrão, o TLS 1.2 voltou a ser aceito nos quatro. Uma versão mínima mais alta deixa o servidor mais seguro e corta clientes antigos. Um programa velho que só fala TLS 1.2 para de conectar quando o mínimo é 1.3.

​
Cifras TLS

A caixa Cifras TLS é a lista de cifras que o servidor aceita, uma por linha. No modo padrão ela mostra as cifras atuais em cinza, e no modo personalizado passa a ser editável.
Uma cifra inválida derruba o servidor web, e o painel juntoO painel não confere o que se escreve aqui. Medido com o nome de uma cifra que não existe: o painel respondeu “As configurações foram atualizadas.” e gravou o texto na configuração do Apache, do Dovecot e do ProFTPD.No minuto seguinte, o Apache não subiu mais. Dois detalhes que tornam isso pior do que parece:
  • o teste de sintaxe do Apache passa (Syntax OK), porque a linha está bem escrita: o servidor só falha ao iniciar, quando tenta montar a lista de cifras
  • o painel aplica este ajuste reiniciando o serviço, e não recarregando. Com o Apache parado, o HTTPS sai do ar, e o painel com ele
O Dovecot e o ProFTPD reiniciaram e continuaram no ar com a mesma cifra inválida.Com o painel fora, a volta é pelo console do servidor, corrigindo a linha de cifras na configuração do Apache e subindo o serviço. Repor o valor direto no banco do painel não resolve: ele só reescreve a configuração dos serviços quando a mudança passa por ele.Antes de salvar uma lista sua, tenha um caminho de acesso ao console.

​
O que pode dar errado

​
Ver também