Obsolete TLS Protocol
Checker ID: #26
Obsolete TLS Protocol
Verifica se o seu site usa versões antigas e inseguras do protocolo que protege a comunicação entre o navegador do seu usuário e o seu servidor. Pense no TLS como o envelope lacrado que protege as mensagens trocadas entre os dois lados. Versões antigas desse envelope possuem falhas conhecidas — qualquer pessoa com o conhecimento certo consegue abrir e ler o conteúdo sem que ninguém perceba.
As versões TLS 1.0 e TLS 1.1 foram criadas em 1999 e 2006, respectivamente. Desde então, pesquisadores descobriram formas de quebrar a proteção que elas oferecem. Um atacante posicionado entre o usuário e o servidor — em uma rede Wi-Fi pública, por exemplo — consegue interceptar e decifrar dados de sessão, incluindo cookies de autenticação. Isso significa que ele pode assumir a conta de qualquer usuário conectado sem precisar da senha. Desde 2021, essas versões são oficialmente proibidas pelos principais órgãos de segurança e padrões internacionais como o PCI DSS.
• O site deve ter HTTPS disponível — sem HTTPS é reprovação automática.
• O servidor deve recusar conexões que tentem usar TLS 1.0.
• O servidor deve recusar conexões que tentem usar TLS 1.1.
• Apenas TLS 1.2 e TLS 1.3 devem ser aceitos.
Tentativa com TLS 1.0 → Recusado pelo servidor ✓
Tentativa com TLS 1.1 → Recusado pelo servidor ✓
Conexão com TLS 1.2 → Estabelecida com sucesso ✓Tentativa de conexão segura na porta 443 → Sem resposta
Resultado: HTTPS indisponívelTentativa com TLS 1.0 → Conexão estabelecida ✗
Protocolo obsoleto aceito: TLS 1.0Tentativa com TLS 1.1 → Conexão estabelecida ✗
Protocolo obsoleto aceito: TLS 1.1