Mozilla SSL Configuration Generator
Använd Mozillas SSL Configuration Generator för att skapa en säker och optimerad serverkonfiguration.
Rekommenderad SSL-konfiguration
Mozilla SSL Configuration Generator genererar konfigurationer för Linux-baserade serversystem som använder OpenSSL-biblioteket. Verktyget utgår från vilka protokoll och chiffersviter som den valda OpenSSL- och serverversionen stöder.
Mozilla SSL Configuration Generator uppdateras löpande med de senaste rekommendationerna och har tre konfigurationsprofiler där du kan prioritera säkerhet, kompatibilitet eller en balans däremellan.
Så här ser inställningarna i verktyget ut.
I det första avsnittet väljer du vilken serverplattform du använder.
I nästa avsnitt väljer du profil:
- Modern: Högst säkerhet men lägst kompatibilitet, eftersom äldre webbläsare och enheter inte kan ansluta.
Rekommenderas om alla klienter är kända, till exempel för en webbplats som endast används internt.
- Intermediate: En balans mellan hög säkerhet och god kompatibilitet.
Rekommenderas för servrar som nås av externa användare, till exempel en webbshop.
Den ger hög säkerhet men tillåter fortfarande anslutningar från något äldre klienter.
- Old: Lägre säkerhet, högst kompatibilitet.
Använd bara den här profilen om kompatibilitet med mycket gamla system väger tyngre än säkerheten, eftersom den tillåter protokoll och chiffersviter som anses osäkra.
I det sista avsnittet anger du server- och OpenSSL-version så att de matchar din miljö.
Här kan du också aktivera eller inaktivera HTTP Strict Transport Security (HSTS):
- HSTS: (HTTP Strict Transport Security) är en header som servern skickar och som talar om för klienten att domänen från och med nu bara får nås via HTTPS.
Klienten sparar inställningen under den angivna tiden (max-age). Var försiktig när du aktiverar HSTS, eftersom en felaktig konfiguration är svår att backa ur.
Följ en noggrann guide och börja med ett lågt värde, till exempel 300 sekunder (5 minuter), i minst en vecka innan du gradvis ökar tiden.
Var extra försiktig med subdomäner och preload om inte hela domänen redan körs via HTTPS.
- OCSP Stapling: Vi rekommenderar att du aktiverar OCSP-häftning.
Servern hämtar då certifikatets status med jämna mellanrum och skickar den direkt till klienten. Klienten behöver då inte fråga utfärdaren om statusen vid varje anslutning.
När alla inställningar är gjorda får du en färdig SSL-konfiguration som kan kopieras in i serverns konfigurationsfil.
Kontrollera och anpassa alltid konfigurationen till din servermiljö.
