Cum editez lista de cifruri și protocoalele TLS/SSL în WHM

Configurarea protocoalelor și a cifrurilor TLS/SSL îți permite să înbunătățești securitatea serverului: dezactivezi protocoalele vechi și vulnerabile (SSLv3, TLS 1.0/1.1), treci testele de securitate SSL și respecți cerințe de conformitate (ex. PCI DSS). Setările de mai jos se aplică la nivel de server, pentru serverul web Apache.

Cui se adresează: administratorilor cu acces root la WHM (VPS / server dedicat). Serverele shared HostX sunt deja configurate securizat.

1. Deschide pagina de configurare Apache

Autentifică-te în WHM ca root și mergi la:

Home → Service Configuration → Apache Configuration → Global Configuration

2. Setează protocoalele TLS/SSL

În câmpul SSL/TLS Protocols, activează doar versiunile moderne. Recomandat:

TLSv1.2 TLSv1.3

Echivalent, poți exclude explicit versiunile vechi:

All -SSLv2 -SSLv3 -TLSv1 -TLSv1.1

SSLv2, SSLv3, TLS 1.0 și TLS 1.1 sunt depreciate și nesigure — dezactivează-le. Păstrează TLS 1.2 activ (nu doar 1.3), pentru compatibilitate cu clienți mai vechi.

3. Setează lista de cifruri (Cipher Suite)

În câmpul SSL Cipher Suite, folosește o listă modernă și sigură (bazată pe recomandarea Mozilla „Intermediate”). Un exemplu bun:

ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305:DHE-RSA-AES128-GCM-SHA256:DHE-RSA-AES256-GCM-SHA384

Evită cifrurile vechi și vulnerabile: RC4, 3DES, NULL, EXPORT, MD5.

4. Salvează și aplică

Apasă Save. WHM îți va cere să apeși Rebuild Configuration and Restart Apache pentru ca modificările să intre în vigoare.

5. Și celelalte servicii?

Configurarea de mai sus acoperă serverul web Apache. Alte servicii au propriile setări TLS:

• Serviciile cPanel (cpsrvd) — protocoalele/cifrurile se ajustează din WHM → Tweak Settings (secțiunea SSL) sau din fișierele de configurare.
• Email (Exim / Dovecot) — WHM → Exim Configuration Manager și configurarea Dovecot.
• FTP (Pure-FTPd) — configurarea TLS a serverului FTP.

Pentru o securizare completă, aliniază protocoalele/cifrurile pe toate aceste servicii, nu doar pe Apache.

6. Testează rezultatul

După restart, verifică protocoalele și cifrurile active cu instrumentul HostX: hostx.ro/testare-ssl. Din linia de comandă poți testa un protocol anume, de exemplu:

# ar trebui să EȘUEZE (TLS 1.0 dezactivat)
openssl s_client -connect domeniul.tld:443 -tls1

# ar trebui să REUȘEASCĂ
openssl s_client -connect domeniul.tld:443 -tls1_2

Atenție: nu lăsa doar TLS 1.3 activ dacă ai vizitatori cu dispozitive/browsere mai vechi — combinația recomandată rămâne TLS 1.2 + TLS 1.3.