http://korben.info/ssleuth.html
Si vous voulez savoir exactement de quoi il en retourne concernant la connexion SSL / TLS des sites que vous visitez, il existe une extension Firefox baptisée SSleuth qui vous permet d’obtenir une note sur 10, de la qualité de la connexion HTTPS. Vous saurez par qui c’est signé, la version de TLS utilisée, le…
Pas vraiment convaincu quand on voit une note de 9,0 sur des sites qui n’ont pas encore désactivé le SSLv3 ou des notes de 7,6 alors que le RC4 et SSLv3 activé et pas de TLS.
La note la plus basse que je chope est un 5.3 (donc la moyenne) alors que tout les testeur en ligne donne un “F” ou des gros warning de sécurité !
Je pense que les notes devraient être révisée à la baisse !
Un petite astuce pour se générer un certificat gratuit et valide, ce tuto est pour nginx mais on intègre le certificat là où on veut, personnellement je m’en sers pour mon NAS synology, ça m’évite les avertissements : http://mondedie.fr/viewtopic.php?id=5895
Du nouveau sur les certificat root des authorités de certifications. Soit disant qu’on piraterait SSL à la NSA à tour de bras?
Le HTTPS c’est bien mais ca noit bien le poisson (le cadenat et c’est ok)…
Ca serai cool si un jour on pouvait zapper l’echange de cle publique (en principe c’est hyper secure) mais que ce passe t-il si la cle privé du site a fuité? Generer une cle publique prend du temps serveur, et je ne sais pas si elle est renouvellé pour chaque utilisateur (pour l’etape critique de l’echange de cle symetrique).
SSL c’est top mais faut faire attention a mon avis
Sinon tu peux comparer ta configuration avec PCI DSS et les recommandations du NIST (pour ceux qui ont pas peur de la NSA) ici : https://www.htbridge.com/ssl/
D’ailleurs tu as l’air conforme aux deux, malgré tes prestataires :
https://www.htbridge.com/ssl/?id=c3081f7836f52a8c40a6da4cc01f5e874b3be59969ac18f9f8803b13f92b09a1
La même, ça marche très bien, à renouveller tous les ans.
Sur le site htbridge donné par ping ça me fait un 8/10.