Désactiver TLS 1.0 et 1.1 : protégez-vous de BEAST et POODLE
Avoir un certificat valide ne dit pas tout de la qualité de votre chiffrement. Ce qui compte tout autant, c'est le protocole négocié entre le navigateur et votre serveur. Or TLS 1.0 (publié en 1999) et TLS 1.1 (2006) sont officiellement obsolètes depuis 2021 et exposés à des attaques connues comme BEAST et POODLE.
Le piège est que ces vieux protocoles restent souvent activés « par compatibilité » sur les serveurs, sans que personne ne s'en aperçoive. Un serveur qui les accepte encore affaiblit la sécurité de tous ses visiteurs — y compris ceux qui utilisent un navigateur moderne — car un attaquant peut tenter de forcer la connexion à les utiliser. La solution est simple : n'autoriser que TLS 1.2 et TLS 1.3.
Quel est le risque ?
Un attaquant positionné sur le réseau (un Wi-Fi public, un fournisseur d'accès compromis, un équipement réseau piégé) peut tenter une attaque de « repli » (downgrade) : il interfère avec la négociation initiale pour forcer le navigateur et le serveur à se rabattre sur le protocole le plus faible commun. Si TLS 1.0 est encore accepté, il peut alors exploiter ses failles (BEAST, POODLE) pour déchiffrer ou manipuler une partie du trafic, comme un cookie de session.
Conserver TLS 1.0/1.1 ne sert plus qu'à de très anciens clients (Windows XP, terminaux d'un autre âge) qui ne représentent plus aucune part de trafic significative. Le bénéfice de compatibilité est nul ; le coût en sécurité, lui, est réel.
Comprendre TLS 1.2 et 1.3
TLS 1.2 (2008) reste parfaitement sûr lorsqu'il est correctement configuré et constitue le minimum acceptable aujourd'hui. TLS 1.3 (2018) va plus loin : il supprime d'office les vieux algorithmes faibles, simplifie la négociation et accélère même l'établissement de la connexion. L'idéal est donc d'activer les deux, et eux seuls.
Désactiver les anciens protocoles est l'action qui a le plus d'impact pour le moindre effort. Dans un second temps, vous pouvez affiner la liste des « suites de chiffrement » autorisées, mais c'est un réglage plus avancé et moins prioritaire.
Comment ne garder que TLS 1.2 et 1.3
Sur un hébergement mutualisé (type o2switch), la version minimale de TLS est généralement gérée par l'hébergeur. Vérifiez votre rapport CheckCyber : si TLS 1.0/1.1 est accepté, certains panneaux permettent de relever le seuil, sinon ouvrez un ticket support pour demander leur désactivation. Sur un serveur que vous administrez vous-même, la configuration est directe.
SSLProtocol -all +TLSv1.2 +TLSv1.3ssl_protocols TLSv1.2 TLSv1.3;Vérifier le résultat
Après modification et rechargement du serveur, relancez un audit CheckCyber : seuls TLS 1.2 et 1.3 doivent apparaître comme acceptés. En ligne de commande, vous pouvez aussi tenter explicitement une connexion en TLS 1.0 — elle doit échouer : openssl s_client -connect exemple.com:443 -tls1 doit renvoyer une erreur de handshake. À l'inverse, openssl s_client -connect exemple.com:443 -tls1_2 doit réussir.
[ FAQ // QUESTIONS FRÉQUENTES ]
▸Désactiver TLS 1.0/1.1 va-t-il casser mon site ?
Pour la quasi-totalité des visiteurs, non : tous les navigateurs maintenus depuis environ 2014 supportent TLS 1.2. Seuls des systèmes très anciens (Windows XP avec un vieil Internet Explorer, certains vieux scripts ou clients d'API) seraient affectés. Le gain de sécurité dépasse largement ce risque résiduel.
▸Faut-il aussi se soucier des suites de chiffrement ?
Idéalement oui : au-delà de la version du protocole, privilégiez des suites modernes (AEAD, ECDHE) et désactivez les algorithmes faibles (RC4, 3DES). Mais désactiver les protocoles obsolètes est l'étape la plus impactante et la plus simple ; traitez les suites dans un second temps.
▸Comment savoir quels protocoles mon serveur accepte aujourd’hui ?
Un audit CheckCyber l'indique en quelques secondes. Pour un diagnostic approfondi (suites de chiffrement, configuration complète), des outils spécialisés en ligne testent chaque protocole et chaque algorithme un par un.
[ PASSEZ À L’ACTION ]
Votre site est-il concerné ?
Lancez un audit de surface gratuit et obtenez en quelques secondes la liste exacte de vos failles, avec le correctif pour chacune. Anonyme, sans inscription.
▶ Auditer mon site[ À LIRE AUSSI ]
[ CheckCyber // MIS À JOUR LE 2026-06-29 ]