March 15, 2026: Newly issued certificates, including their Domain Control Validation, aka DCV, will have to be renewed every 200 days.
March 15, 2027: That lifespan will go down to 100 days.
March 15, 2029: New SSL/TLS certificates will be limited to 47 days, and 10 days for DCVs.

47. JOURS. Le futur de la sécurité !

Je suis déjà tombé sur des workstations où l'heure est momentanément pétée sans comprendre pourquoi.
Une des causes peut être un problème de communication inhérent au TLS.

L'excellente IIS Crypto, qui est "a free tool that gives administrators the ability to enable or disable protocols, ciphers, hashes and key exchange algorithms" (flemme de traduire, tu te débrouilles) se met à jour.

voir https://liens.strak.ch/shaare/sm6k-Q

Un site intéressant pour vérifier, par exemple, ce qu'expose un serveur mail sur le web.

Une extension Firefox pour obtenir plus d'infos (dates, versions TLS, etc.) sur les certificats des sites que vous visitez.

Tu peux ensuite scanner ton serveur grâce à ce site qui génère un rapport complet: https://globalsign.ssllabs.com/

via https://nicolas-delsaux.hd.free.fr/Shaarli/?tFdxRA

TL;DR. Attention à certains excès de zèle, comme désactiver TLS 1.0 sur un serveur Exchange alors qu'il en a besoin pour fonctionner...

https://links.angristan.fr/?EFyTRQ

"IIS Crypto is a free tool that gives administrators the ability to enable or disable protocols, ciphers, hashes and key exchange algorithms on Windows Server 2008, 2012 and 2016.
It also lets you reorder SSL/TLS cipher suites offered by IIS, implement best practices with a single click, create custom templates and test your website."

Voir shaarlink précédent. Je préfère généralement faire à la main, pour savoir ce qui a changé précisément (et revenir en arrière accessoirement).

Se base sur https://support.microsoft.com/en-us/kb/245030, qui ne dit pas tout...
Attention aussi et surtout à Exchange 2010/2013 qui ont besoin de TLS 1.0 pour fonctionner.

À propos de l'interception du trafic SSL, dont par exemple Avast est adepte et pas depuis hier: http://liens.strak.ch/?XxUeuA
D'autres risques, comme les certificats qui restent dans le magasin même après désinstallation, sont à prendre en compte.

Synology l'a implémenté par défaut, j'ai eu la surprise de le voir aujourd'hui. Pour Qnap, il faut encore patienter et le faire à la main, wait and see...

Un retour d'expérience d'un bêta-testeur de Let's Encrypt (http://liens.strak.ch/?f8pkRw).

J'avais pas pensé à ça sous cet angle pour Let's Encrypt (http://liens.strak.ch/?f8pkRw), c'est pas con du tout.

"Mozilla, Cisco, Akamai, EFF et IdenTrust lancent une autorité de certification gratuite."