Go achomair: Ní thairgeann cumraíocht TLS stóinsithe d'fhreastalaí gréasáin ach TLS 1.2 agus TLS 1.3, úsáideann sí cipher suites le Forward Secrecy agus criptiú fíordheimhnithe (AES-GCM, ChaCha20-Poly1305) agus teastas le heochair ECDSA nó RSA atá fada go leor, a athnuaitear go huathoibríoch. Tugann treoirlíne TR-02102-2 an BSI (Oifig Chónaidhme na Gearmáine um Shlándáil Faisnéise) agus moltaí Server-Side TLS ó TLSRef treoir. Seiceáil an toradh ón taobh amuigh agus ná déan dearmad ar na naisc a bhunaíonn PHP féin.
Cén fáth a maireann seanshocruithe TLS chomh fada sin
Tá an glas sa bhrabhsálaí ann, mar sin meastar go bhfuil an criptiú déanta. Sin an chaoi a smaoiníonn a lán oibreoirí, agus is é sin an fáth a bhfanann cumraíocht TLS gan athrú go minic ar feadh blianta. Ansin is ón am a socraíodh an freastalaí a thagann sí, ó theimpléad cóipeáilte nó ó réamhshocruithe painéil.
An fhadhb: athraíonn moltaí. Cuirtear leaganacha prótacail in ionad a chéile, meastar go bhfuil nósanna imeachta lag, agus tagann modhanna nua malartaithe eochracha. D'fhoilsigh an BSI TR-02102 le déanaí i leagan 2026-01 an 27.01.2026, agus tá tagairt ann cheana do nósanna imeachta hibrideacha iar-chandamacha do TLS 1.3. An té nár bhreathnaigh ar a shocruithe le blianta, is dócha nach bhfuil siad ar an staid is déanaí a thuilleadh.
An té atá ag seiceáil freastalaithe tar éis PHP2Shell ar aon nós, is féidir leis an chumraíocht TLS a fheiceáil ag an am céanna. Ní dhúnann sé an leochaileacht PHP, ach baineann sé le gach cruatú glan.
Cad a threoraíonn cumraíocht mhaith TLS d'fhreastalaí gréasáin
Tá dhá fhoinse úsáideach go háirithe d'oibreoirí sa Ghearmáin. Déanann BSI TR-02102 nósanna imeachta cripteagrafacha a mheas; déileálann Cuid 2 le TLS. Tá sí dírithe go príomha ar fhorbróirí agus ar phleanálaithe agus is minic gurb í an tomhas í d'údaráis agus do limistéir rialáilte. Tá na moltaí Server-Side TLS, a cothabháladh roimhe seo sa Mozilla Wiki, á gcothabháil anois faoi TLSRef, agus tugann siad próifílí nithiúla in-chóipeáilte.
Idirdhealaíonn TLSRef i leagan 6.0 idir dhá phróifíl:
| Gné | Intermediate (do fhormhór na suíomhanna) | Modern |
|---|---|---|
| Prótacail | TLS 1.2 agus TLS 1.3 | TLS 1.3 amháin |
| Cipher suites TLS 1.2 | ECDHE le AES-GCM nó ChaCha20-Poly1305 | aon cheann |
| Grúpaí malartaithe eochracha | X25519MLKEM768, X25519, prime256v1, secp384r1 | mar Intermediate |
| Teastas | ECDSA P-256 molta nó RSA 2048 giotán | ECDSA P-256 |
| Tréimhse bhailíochta an teastais | 90 lá molta, 366 lá ar a mhéad | 90 lá |
| HSTS max-age | dhá bhliain | dhá bhliain |
Do shuíomhanna poiblí is é Intermediate an pointe tosaigh is gnách. Eisiann an phróifíl gléasanna an-sean, ach clúdaíonn sí brabhsálaithe agus córais oibriúcháin reatha. Teastaíonn leabharlann TLS reatha don ghrúpa hibrideach X25519MLKEM768. Seiceáil an bhfuil sé ar eolas ag do leagan OpenSSL sula gcuireann tú isteach é.
Nginx agus Apache: pointe tosaigh slán
Cuireann na samplaí seo a leanas próifíl Intermediate i bhfeidhm. Is sealbhóirí áite iad na cosáin, baineann liosta na cipher suites le TLS 1.2; tagann modhanna slána réamhshocraithe dá gcuid féin le TLS 1.3.
server {
listen 443 ssl;
server_name www.example.de;
ssl_certificate /etc/ssl/example/fullchain.pem;
ssl_certificate_key /etc/ssl/example/privkey.pem;
ssl_protocols TLSv1.2 TLSv1.3;
ssl_ciphers ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305;
ssl_prefer_server_ciphers off;
}
server {
listen 80;
server_name www.example.de;
return 301 https://$host$request_uri;
}
SSLProtocol -all +TLSv1.2 +TLSv1.3
SSLCipherSuite ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305
SSLHonorCipherOrder off
Athsheolann an dara bloc server glaonna gan chriptiú go buan chuig HTTPS. Ba cheart don athsheoladh pointe go díreach chuig an seoladh deiridh agus gan rith trí roinnt stad idir eatarthu. Seiceáil ina dhiaidh sin freisin na hacmhainní leabaithe: spreagann íomhánna, scripteanna nó clófhoirne a luchtaítear fós thar HTTP rabhaidh sa bhrabhsálaí nó bactar iad.
Is ionann an socrú go roghnaíonn an cliant an t-ord agus moladh TLSRef: meastar go bhfuil na modhanna go léir a thairgtear slán, agus is féidir le gléasanna gan luasghéarú AES ChaCha20 a roghnú dá bhrí sin. Tar éis gach athraithe, déan an chumraíocht a thástáil (nginx -t nó apachectl configtest) agus athluchtaigh an tseirbhís. Déanann an treoir Ceanntásca slándála do shuíomhanna gréasáin cur síos ar an gceanntásc HSTS cuí agus ar threoracha eile brabhsálaí.
Forscríobhann painéil ar nós Plesk nó cPanel athruithe a dhéantar de láimh ar chomhaid ginte go minic. Socraigh forálacha TLS ansin trí shocruithe nó teimpléid an phainéil atá ceaptha chuige.
Teastais: eochracha, slabhra, athnuachan
Níl baint ag cuid mhór de fhadhbanna TLS sa chleachtas le cipher suites, ach le teastais. Is earráidí tipiciúla iad slabhra neamhiomlán nuair a bhíonn an teastas idirmheánach ar iarraidh, teastais as feidhm ar fho-fhearainn, agus eochracha príobháideacha le cearta comhad atá ró-leathan.
Cabhraíonn trí riail:
- Athnuaigh go huathoibríoch agus déan faireachán ar an athnuachan. Is féidir tréimhsí gearra bailíochta, mar a mholann TLSRef, a chur i bhfeidhm leis an uathoibriú amháin.
- Cosain eochracha príobháideacha: inléite do root agus do phróiseas an fhreastalaí gréasáin amháin, riamh sa webroot, riamh i stór.
- Gach ainm a thaifeadadh: príomhfhearann, www, fo-fhearainn don siopa, stáitseáil, comhéadan gréasáin ríomhphoist agus painéil.
An té a úsáideann teastais in áiteanna éagsúla, mar shampla ar CDN, ar chothromóir ualaigh agus ar bhunfhreastalaí, ba cheart dó forbhreathnú a choinneáil: cén teastas atá suiteáilte cén áit, cé a athnuaíonn é agus cathain a rachaidh sé as feidhm. Mura bhfuil an forbhreathnú seo ann, is minic nach dtugtar teastas as feidhm faoi deara go dtí go gcuireann custaiméirí in iúl.
Conas a sheiceálann tú do chumraíocht ón taobh amuigh
Seiceálacha amháin iad na horduithe seo a leanas agus ní athraíonn siad aon rud. Cuir d'óstainm féin in ionad an óstainm samplach:
# Ba cheart go n-oibreodh TLS 1.3 agus TLS 1.2
openssl s_client -connect www.example.de:443 -servername www.example.de -tls1_3 </dev/null
openssl s_client -connect www.example.de:443 -servername www.example.de -tls1_2 </dev/null
# Ba cheart go dteipfeadh ar TLS 1.1
openssl s_client -connect www.example.de:443 -servername www.example.de -tls1_1 </dev/null
# Tréimhse bhailíochta agus sealbhóir an teastais a sheachadtar
openssl s_client -connect www.example.de:443 -servername www.example.de </dev/null 2>/dev/null | openssl x509 -noout -subject -dates
D'fhéadfadh teip ar an tástáil TLS 1.1 a bheith mar gheall ar nach dtairgeann do leagan áitiúil OpenSSL an seanphrótacal ar chor ar bith a thuilleadh. Le haghaidh tuarascála iomláine ar na modhanna go léir a thairgtear, oireann scanóir TLS speisialaithe. Seiceáil gach fo-fhearann ar leith, mar ritheann siad le socruithe dá gcuid féin go minic.
Dearmad: TLS san áit a bhfuil PHP féin ina chliant
Bunaíonn feidhmchláir PHP a lán naisc iad féin: le soláthraithe íocaíochta, le soláthraithe seoltóireachta, le comhéadain, le freastalaithe ríomhphoist agus le bunachair sonraí. Anseo ní socrú lag an earráid is minice, ach seiceáil an teastais atá múchta, go minic mar réiteach tapa ar fhadhb san fhorbairt.
<?php
// Slán: seiceáiltear an teastas agus an t-óstainm (coinnigh an gnáthiompar)
$ch = curl_init('https://api.partner.example/v1/status');
curl_setopt_array($ch, [
CURLOPT_RETURNTRANSFER => true,
CURLOPT_SSL_VERIFYPEER => true,
CURLOPT_SSL_VERIFYHOST => 2,
CURLOPT_TIMEOUT => 10,
]);
$antwort = curl_exec($ch);
Lorg sa chód CURLOPT_SSL_VERIFYPEER le false agus verify_peer i gcomhthéacsanna sruthanna. Tá gach áit a bhfaightear iad ag cur cosaint TLS as feidhm don nasc sin go praiticiúil. Nuair a bhíonn seirbhísí taobh thiar de CDN, ba cheart teastas bailí, seiceáilte a úsáid ar an mbealach idir an CDN agus an bunfhreastalaí freisin. Tá socruithe eile an fhreastalaí gréasáin do shuiteálacha PHP le fáil ag Nginx a chumrú go slán do PHP, agus tá tagarmharcanna don chruatú iomlán ag CIS Benchmarks agus bloic BSI.
Conas a chabhraíonn PHP SOS go nithiúil?
- Taifeadaimid na hóstainmneacha agus na seirbhísí go léir le TLS, painéil, stáitseáil agus comhéadain ghréasáin ríomhphoist san áireamh.
- Comparáimid na socruithe le TR-02102 agus leis an bpróifíl TLSRef cuí agus déanaimid neamhréireachtaí d'aon ghnó a dhoiciméadú.
- Aistrímid teastais go hathnuachan uathoibríoch le faireachán.
- Lorgaimid i gcód an fheidhmchláir seiceálacha teastais atá múchta agus léirímid an ceartúchán.
Is bloc de chruatú freastalaí dár bhfreastalaithe gréasáin PHP é TLS; míníonn Cad is PHP2Shell ann? an bhaint leis an staid reatha.
Ceisteanna coitianta
An gá dom TLS 1.0 agus TLS 1.1 a thairiscint fós?
De ghnáth ní gá. Socraíonn moltaí reatha ar nós phróifíl Intermediate TLSRef TLS 1.2 mar íoschéim. An té a bhfuil prótacail níos sine de dhíth air do sheanghléasanna, ba cheart dó é sin a chinneadh d'aon ghnó, é a dhoiciméadú agus é a theorannú do sheirbhís ar leith.
An bhfuil teastas saor in aisce níos lú slán ná teastas ceannaithe?
Maidir leis an gcriptiú, ní dhéanann sé aon difríocht. Is iad cineál an eochair, fad an eochair, slabhra iomlán teastais agus athnuachan uathoibríoch iontaofa a chinneann an scéal. Bíonn difríochtaí ann i dtéarmaí scóip an dearbhaithe, tréimhse bhailíochta agus seirbhíse an tsoláthraí.
An leor HTTPS idir an cuairteoir agus an CDN?
Ní leor. Ba cheart an nasc idir an CDN agus an bunfhreastalaí a chriptiú freisin agus teastas an bhunfhreastalaí a sheiceáil. Seachas sin sreabhann sonraí gan chriptiú nó gan seiceáil tríd an líonra ar an dara codán.
Cén bhaint atá ag TLS le PHP2Shell?
Níl aon bhaint dhíreach aige leis. Cosnaíonn TLS sonraí ar an mbealach, agus bíonn tionchar ag PHP2Shell ar an ateangaire PHP ar an bhfreastalaí. Iompraíonn nasc criptithe iarratais ionsaithe go hiontaofa freisin, mar sin tá an nuashonrú PHP éigeantach beag beann air.