La faiblesse identifiée sous la référence http:::*:ssl_tls_weaknesses correspond à une détection générique signalant la présence de configurations SSL/TLS perfectibles sur le port HTTPS (443). Il ne s’agit pas d’une vulnérabilité exploitable spécifique, mais d’un regroupement d’indicateurs techniques utilisé par les outils de scan automatisés pour signaler des paramètres cryptographiques anciens ou non optimaux.
Le niveau de risque réel est faible, car cette alerte ne met pas en évidence une faille précise permettant une compromission directe du service. Elle indique principalement que certains protocoles ou suites de chiffrement historiques peuvent encore être acceptés par le serveur, même si ceux-ci ne sont plus recommandés par les standards actuels.
Ce type de résultat est fréquent dans les rapports de scan, notamment lorsque le serveur conserve une compatibilité étendue pour d’anciens clients ou systèmes. Dans un environnement moderne, cette compatibilité n’est généralement plus nécessaire et peut être réduite sans impact fonctionnel.
Les bonnes pratiques recommandées consistent à restreindre la configuration SSL/TLS aux standards actuels, en désactivant les protocoles obsolètes (SSL, TLS 1.0, TLS 1.1), en limitant les suites de chiffrement aux algorithmes robustes (AES-GCM, ChaCha20-Poly1305) et en maintenant uniquement TLS 1.2 et TLS 1.3. Il est également recommandé de maintenir à jour les composants système et bibliothèques cryptographiques afin de bénéficier des dernières améliorations de sécurité.
La mise en œuvre de ces bonnes pratiques permet de supprimer cette faiblesse générique, d’améliorer la posture de sécurité globale du service HTTPS et de garantir une conformité avec les référentiels de sécurité actuels, sans impact pour les utilisateurs.
Après application des recommandations, le service HTTPS est considéré comme sécurisé, conforme et ne présentant pas de faiblesse significative liée à SSL/TLS.
🛡️ Durcissement SSL/TLS
Bonnes pratiques
Afin d’aligner les services HTTPS avec les standards de sécurité actuels et de supprimer les faiblesses cryptographiques historiques, il est recommandé d’appliquer les bonnes pratiques suivantes :
Désactiver les protocoles obsolètes : SSL, TLS 1.0 et TLS 1.1
Autoriser uniquement les protocoles sécurisés : TLS 1.2 et TLS 1.3
Restreindre les suites de chiffrement aux algorithmes modernes et robustes :
AES-GCM
ChaCha20-Poly1305
Éviter les chiffrements basés sur CBC, devenus obsolètes
Forcer l’ordre de chiffrement côté serveur afin d’empêcher l’utilisation d’algorithmes faibles
Maintenir à jour les bibliothèques cryptographiques et composants système (OpenSSL, systèmes d’exploitation, serveurs web)
Tester régulièrement la configuration SSL/TLS à l’aide d’outils de vérification automatisés