ApacheでSSLのセキュリティ評価をA+まで上げる。
無料SSL証明書 Let’s Encryptを導入するでSSLを設置したので、
更にセキュリティ評価を上げて、A+にしたいと思います。
ヴァーチャルホストの設定ファイル編集
ヴァーチャルホストの設定ファイルに追記します。
[root@test]# vi /etc/httpd/conf.d/hogehoge.com.conf←設定ファイル編集 下記を追記します。SSLProtocol all -ALL -SSLv2 -SSLv3 +TLSv1 +TLSv1.1 +TLSv1.2←POODLE対策 SSLCipherSuite ECDH+AESGCM:DH+AESGCM:ECDH+AES256:DH+AES256:ECDH+AES128:DH+AES:RSA+AESGCM:RSA+AES:!EXP:!LOW:!aNULL:!eNULL:!ADH:!DSS:!MD5:!PSK:!SRP:!RC4:!3DES←脆弱な暗号化スイートを無効にする SSLHonorCipherOrder on Header add Strict-Transport-Security "max-age=315360000"←HSTSを有効化 サブドメインもHSTSを有効にする場合は、下記に変更してください Header always set Strict-Transport-Security "max-age=315360000; includeSubDomains"
これでApacheを再起動して設定完了です。
SSLの評価はSSL LABSで行います。
見事A+を獲得できました。
