Documentation

Savoir que votre configuration TLS respecte encore les référentiels actuels

Un certificat valide, ce n’est que la moitié de HTTPS. L’autre moitié, c’est la façon dont le serveur l’utilise : les versions de TLS qu’il accepte, les suites de chiffrement et les échanges de clés qu’il propose, s’il répond encore à des protocoles abandonnés depuis des années. Rien de tout cela n’apparaît dans le cadenas du navigateur, et tout cela change sans bruit : un nouveau répartiteur de charge avec ses propres réglages par défaut, une image de serveur reconstruite à partir d’un modèle plus ancien, une mise à jour de bibliothèque qui réactive quelque chose.

Les référentiels évoluent eux aussi. Une configuration qui respectait l’édition de l’an dernier d’un référentiel peut ne plus respecter celle de cette année sans que rien n’ait changé sur le serveur. Pingsured teste la configuration chaque jour et vous prévient quand elle ne respecte plus le référentiel auquel vous la soumettez.

Ce qu’examine le test quotidien

Une fois par jour, depuis chaque emplacement d’où s’exécute une vérification TLS, Pingsured sonde la configuration du serveur : les versions de TLS qu’il accepte, les suites de chiffrement et les groupes d’échange de clés qu’il admet, la clé et la signature du certificat, et s’il refuse une négociation rétrogradée. Sur le port 443, il lit aussi les en-têtes qui protègent HTTPS : Strict-Transport-Security, la redirection depuis le port 80 et l’attribut Secure des cookies.

Tout ce qu’il trouve est listé dans le résultat de la vérification, et la page des constats TLS explique chaque constat et comment le corriger sur les serveurs courants.

Le référentiel auquel vous le soumettez

Vous choisissez au regard de quel référentiel publié un serveur est jugé. Le profil intermediate de Mozilla, celui que produisent la plupart des générateurs de configuration, est celui par défaut. Vous pouvez ajouter :

• BSI TR-02102-2 et TR-02103, les directives fédérales allemandes, que le secteur public allemand exige couramment de ses fournisseurs ;
• NIST SP 800-52, la recommandation fédérale américaine ;
• NCSC-NL, les recommandations du gouvernement néerlandais, largement suivies dans la santé et la finance néerlandaises.

Chaque référentiel est fixé à une édition précise, et chaque résultat enregistre l’édition qui l’a jugé : un résultat d’aujourd’hui peut donc toujours être lu au regard des règles sous lesquelles il a été établi.

Ce qui vous est signalé

Un constat au regard d’un référentiel choisi fixe le statut de la vérification : un avertissement par défaut, une erreur, ou seulement une mention dans le résultat si vous préférez. Ce statut vous parvient comme tout autre (par e-mail, dans l’application ou par webhook) via les abonnements qui l’incluent. Les constats hors des référentiels choisis sont tout de même enregistrés, mais ne déclenchent jamais d’alerte.

Quand le certificat change et que la note du serveur baisse avec lui, l’avis de changement de certificat le mentionne.

La note TLS

Chaque résultat note la configuration d’un à cinq cadenas, pour que l’état d’un serveur se lise d’un coup d’œil :

La note décrit la configuration, pas les jours restants du certificat, et en dessous de cinq cadenas, le résultat nomme les constats qui la limitent. Chaque emplacement note ce qu’il a vu, et la vérification affiche la note la plus basse.

Pourquoi tester votre configuration TLS avec Pingsured

• Chaque jour, pas une fois par an. Une configuration qui se dégrade est repérée le lendemain, pas au prochain test d’intrusion.
• Au regard du référentiel qu’on vous demande. La même vérification répond à « est-ce assez sûr pour nos clients » et à « cela respecte-t-il la directive du BSI citée dans notre contrat ».
• Expliqué, pas seulement noté. Chaque constat est documenté : quel référentiel le compte, sous quelle clause, et comment le corriger.
• Depuis plusieurs emplacements. Les serveurs derrière un CDN ou un répartiteur de charge peuvent différer selon la région ; chaque emplacement indique sa propre note.
• Hébergé dans l’UE, par une entreprise allemande. Les détails de vos serveurs restent en Allemagne et en Finlande.

Limites à connaître

• Le test de configuration s’exécute au plus une fois par jour pour chaque serveur et chaque emplacement : un changement apparaît donc le lendemain de sa mise en place. L’expiration et la confiance du certificat restent vérifiées à chaque exécution.
• Certaines exigences ne se voient pas de l’extérieur : la renégociation initiée par le client, les données 0-RTT, les schémas de signature d’une négociation TLS 1.3, qui sont chiffrés, et tout ce qui se trouve à l’intérieur du serveur. Elles ne sont pas jugées, et un serveur ne perd rien à cause d’elles.
• La vérification juge un serveur au regard d’un référentiel. Ce n’est pas une certification, et elle ne remplace pas un audit.