Qualys

LiteSpeedのインストールについては、以下の記事で書きましたので参考にしてみてください。 https://zaitakukinmu.com/2021/02/10/litespeed-install/ 今回は、Qualys SSL Server Testで、とりあえずA+になるように設定していきます。 https://www.ssllabs.com/ssltest/index.html 変更前の状態確認 SSL周りの設定は、前回まで、証明書と秘密鍵ファイルを指定しただけでした。 評価は、Bとなっています。 変更箇所 プロトコルバージョン こちらのメッセージの対応をします。TLS1.1がサポートされちゃってますということです。 TLS 1.0/1.1は、脆弱性があるので基本使わないようにしましょう。 This server supports TLS 1.1. Grade capped to B. MORE INFO » https://ssl.sakura.ad.jp/column/tls-invalidation/ 左ナビのリスナー =&gt; 443ポートで設定したものを選択 =&gt; SSLタブに切り替え =&gt; SSL プロトコル =&gt; プロトコルバージョンを変更します。(初期設定では、未選択になっています) TLS v1.2とTLS v1.3だけチェックします。 プロトコルバージョンを指定する ここで一旦、再起動し、再度テストをします。 1つの変更だけで、B =&gt; Aに変わりました。 上の図を見てもらうと、Key ExchangeとCipher Strengthのスコアが100に達していません。 ここを次項で修正していきます。 DNS CAA SSLサーバ証明書を第三者が勝手に発行することを防止する仕組みです。認証局（CA）はSSLサーバ証明書を発行する際にDNSを確認し、ドメイン所有者がその認証局にSSLサーバ証明書の発行を許可しているかどうかをチェックします。 以下のサイトで、CAAレコードを生成して、DNSレコードに設定します。 https://sslmate.com/caa/ 当サイトのドメイン名(zaitakukinmu.com)、認証局(Let's Encrypt)を指定すると以下のレコードが生成されます。 zaitakukinmu.com. IN CAA 0 issue "letsencrypt.org" zaitakukinmu.com. IN CAA 0 issuewild ";" こちらをお名前.comから設定します。 再度チェックをするとDNS CAAのところがYesとなります。 Session resumption (caching) 2回目以降のセッション時は、初回のキャッシュを使い回すという内容ぽいです。 こちらは、LiteSpeedの管理画面から設定します。 左ナビのリスナー =&gt; 443ポートで設定したものを選択 =&gt; SSLタブに切り替え =&gt; セキュリティ &amp; 機能 =&gt; セッションキャッシュを有効にするをオンにします。 ここで一旦、再起動し、再度テストをします。 HSTS これを有効にすると、初回接続以降は、httpsで接続するようになる。 有効にしないとAが、評価の上限となり、有効にすることで A+ 評価になるとのことです。 バーチャルホスト設定 =&gt; コンテキスト =&gt; URIが"/"の設定から、Header Operationsに以下を設定します。 Strict-Transport-Security 'max-age=31536000;' always; 保存後、再起動し、再計測します。 とりあえず、A+になりました。 今回は、ここまでとします。

LiteSpeedで、Qualys SSL Server Testで、A+にする方法