cPanel

Na hostingu współdzielonym z cPanelem to sprawa hosta: poproś wsparcie o ograniczenie serwera WWW do TLS 1.2 i 1.3.

Z WHM (własny serwer lub VPS):

1. Otwórz Service Configuration → Apache Configuration → Global Configuration.
2. W SSL/TLS Protocols wpisz -all +TLSv1.2 +TLSv1.3 (pole używa składni SSLProtocol z Apache). Nie może zawierać TLSv1 ani TLSv1.1.
3. Save i Rebuild Configuration and Restart Apache.

Jeśli serwer zamiast Apache działa na LiteSpeed Web Server, sprawdź też jego ustawienia SSL i uruchom go ponownie.

Plesk

Na Linuksie, jako administrator:

1. Otwórz Tools & Settings → SSL/TLS Ciphers (w niektórych wersjach w sekcji Security).
2. Zostaw zaznaczone tylko TLSv1.2 i TLSv1.3 i zastosuj.

To samo z wiersza poleceń:

plesk bin server_pref -u -ssl-protocols 'TLSv1.2 TLSv1.3'

W Plesku dla Windows protokoły ustawia się w samym Windows: zobacz zakładkę IIS.

DirectAdmin

Jako root ustaw profil TLS w CustomBuild na intermediate Mozilli (TLS 1.2 i 1.3) i przepisz konfigurację serwera WWW:

cd /usr/local/directadmin/custombuild
./build set ssl_configuration intermediate
./build rewrite_confs

nginx

Ustaw protokoły w bloku http { … } pliku /etc/nginx/nginx.conf (ta sama ścieżka na Debianie, Ubuntu, Rocky, Alma i CentOS):

http {
    ssl_protocols TLSv1.2 TLSv1.3;
}

Potem poszukaj innych linii, które to nadpisują:

grep -rn ssl_protocols /etc/nginx/ /etc/letsencrypt/options-ssl-nginx.conf 2>/dev/null

Każda linia ssl_protocols musi mówić to samo. nginx wybiera protokół, zanim wie, o którą stronę chodzi, więc domyślny serwer na porcie 443 decyduje za wszystkie strony na tym adresie IP: jedna stara linia tam zostawia TLS 1.0 włączone dla wszystkich.

sudo nginx -t && sudo systemctl reload nginx

Apache i LiteSpeed

Z dostępem do serwera (Apache). Na Debianie i Ubuntu edytuj /etc/apache2/mods-available/ssl.conf, na Rocky, Alma i CentOS /etc/httpd/conf.d/ssl.conf:

SSLProtocol -all +TLSv1.2 +TLSv1.3

Sprawdź, czy żaden wirtualny host ani dołączony plik nie ustawia tego inaczej (Certbotowy /etc/letsencrypt/options-ssl-apache.conf to ustawia):

grep -rn SSLProtocol /etc/apache2/ /etc/httpd/ /etc/letsencrypt/ 2>/dev/null
sudo apachectl configtest && sudo systemctl reload apache2

(Na Rocky, Alma i CentOS httpd zamiast apache2.) Na tych systemach od wersji 8 systemowa polityka kryptograficzna już wyklucza TLS 1.0 i 1.1; jeśli serwer nadal je akceptuje, nadpisuje ją jawna linia SSLProtocol.

Bez dostępu do serwera (hosting współdzielony, LiteSpeed). TLS nie da się ustawić w .htaccess. Zapytaj hosta.

Cloudflare

Gdy strona działa przez proxy Cloudflare (pomarańczowa chmurka), odwiedzający i lista kontrolna łączą się z Cloudflare, a nie z Twoim serwerem.

1. Otwórz domenę i przejdź do SSL/TLS → Edge Certificates.
2. Ustaw Minimum TLS Version na TLS 1.2.

Twój serwer może nadal akceptować stare wersje dla połączeń z pominięciem Cloudflare; popraw to też tam, w zakładce dla swojego serwera.

IIS i ASP.NET

Windows ustawia wersje TLS dla całego serwera (SCHANNEL), a nie dla pojedynczej strony. Najprościej darmowym narzędziem IIS Crypto firmy Nartac: zastosuj szablon Best Practices, upewnij się, że TLS 1.0 i 1.1 w Server Protocols są odznaczone, i uruchom serwer ponownie.

Albo ustaw klucze rejestru sam w PowerShellu z uprawnieniami administratora, a potem uruchom serwer ponownie:

foreach ($version in 'TLS 1.0', 'TLS 1.1') {
    $key = "HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\$version\Server"
    New-Item -Path $key -Force | Out-Null
    New-ItemProperty -Path $key -Name Enabled -Value 0 -PropertyType DWord -Force | Out-Null
    New-ItemProperty -Path $key -Name DisabledByDefault -Value 1 -PropertyType DWord -Force | Out-Null
}

Ostrzeżenie: Te klucze dotyczą tylko połączeń do tego serwera. Przed ponownym uruchomieniem upewnij się, że nic innego na nim (stary SQL Server, Remote Desktop na niezałatanym systemie, stara aplikacja .NET) nie zależy od TLS 1.0 dla połączeń przychodzących.