SSL и TLS: в чём разница и какая версия протокола нужна сегодня, термины и чек-лист

Подробности, цифры, термины и чек-лист по теме «SSL и TLS: в чём разница и какая версия протокола нужна сегодня». Страница справочника целиком: SSL и TLS.

Коротко о теме

SSL и TLS: чем отличаются, почему SSL 3.0 отключён с 2015 года и какие версии работают сегодня. Что включить на сервере: TLS 1.2 или 1.3.

Подробности по разделам

В чём разница между SSL и TLS по годам

Поэтому TLS можно считать следующим выпуском того же протокола под новым названием. Что нового внесла каждая версия в сам обмен ключами, разобрано в статье TLS-рукопожатие.

Какие версии TLS оставить на сервере

Отметьте, что включено сейчас, и получите вывод

Почему сертификат всё ещё называют SSL

Файл формата X.509 содержит имя сайта, открытый ключ и подпись, и работает одинаково с любой версией. Поэтому «SSL-сертификат» и «TLS-сертификат» это один и тот же товар, а версию определяют настройки сервера, а не покупка. Что можно выбрать при покупке: выбор сертификата и цены.

Ключевые цифры

В TLS 1.3 убраны устаревшие алгоритмы и рукопожатие занимает один обмен сообщениями вместо двух.
Выполните openssl s_client -connect example.com:443 -tls1_3 с вашим доменом.
Если соединение установилось и в выводе есть строка о протоколе TLSv1.3, версия включена.

Термины на странице

TLS: TLS это протокол шифрования, на котором работает HTTPS. Название SSL осталось по привычке.
SSL-сертификат: SSL-сертификат подтверждает, что сайт принадлежит владельцу домена, и позволяет шифровать соединение.
Let's Encrypt: Let's Encrypt выпускает бесплатные DV-сертификаты на 90 дней с автоматическим продлением.
Домен: Домен это имя сайта в интернете, например example.ru. Его регистрируют на срок и продлевают.
Nginx: Nginx это веб-сервер и обратный прокси. Его часто ставят перед приложением, чтобы раздавать статику и держать HTTPS.
Центр сертификации: Центр сертификации выпускает сертификаты и отвечает за проверку владельца.

Что проверить

Выпустите сертификат после того, как домен указывает на сервер.
Проверьте, что установлена вся цепочка сертификатов.
Включите перенаправление с HTTP на HTTPS.
Выберите конфигурацию по памяти и диску под задачу, процессор обычно вторичен.
Проверьте тип виртуализации: KVM даёт свою систему и гарантированные ресурсы.
Уточните, входит ли IPv4 и сколько стоит трафик сверх пакета.