Proteggi la tua app con TLS minimo (ambiente flessibile)
Mantieni tutto organizzato con le raccolte
Salva e classifica i contenuti in base alle tue preferenze.
Per aumentare la sicurezza, a partire da marzo 2025, il supporto per Transport Layer Security (TLS) versione 1.1 e precedenti verrà ritirato. Aggiorna le impostazioni dell'applicazione nell'ambiente flessibile App Engine per utilizzare TLS versione 1.2 e successive, insieme a un insieme sicuro corrispondente di suite di crittografia.
Quando selezioni l'ultima versione di TLS, App Engine blocca automaticamente il traffico non sicuro, senza richiedere di configurare un bilanciatore del carico delle applicazioni esterno globale per instradare le richieste alla tua applicazione.
Per eseguire l'upgrade delle applicazioni esistenti in modo che utilizzino
solo TLS versione 1.2 e successive, segui le istruzioni riportate in questa
guida.
Versioni TLS e suite di crittografia supportate
La sicurezza delle connessioni TLS dipende dalla suite di crittografia negoziata, una
combinazione di algoritmi crittografici. Queste suite di crittografia sono identificate dai
valori IANA, come descritto in dettaglio nella tabella seguente:
Aggiornare le versioni TLS consentite per la tua app
Puoi aggiornare la versione TLS utilizzando la console Google Cloud o
gcloud CLI. Per i passaggi specifici dello strumento, fai clic sulla scheda dello strumento che preferisci:
Console
Nella console Google Cloud , vai alla pagina Impostazioni di App Engine:
Nella scheda Impostazioni applicazione, fai clic su Modifica impostazioni applicazione.
Nell'elenco SSL Policy (Criterio SSL), seleziona TLS 1.2+ (Modern ciphers) (TLS 1.2 e versioni successive (algoritmi di crittografia moderni)).
Questa selezione consente solo TLS versione 1.2 e successive, con suite di crittografia moderne. Se vuoi consentire versioni TLS meno sicure,
come la 1.0 e successive, seleziona TLS 1.0+ (obsoleto). Tuttavia, ti
consigliamo di aggiornare le applicazioni in modo da utilizzare l'ultima versione TLS supportata.
Fai clic su Salva.
gcloud
Quando crei o aggiorni l'applicazione, utilizza il flag --ssl-policy per specificare la versione TLS minima consentita.
Per impostare una versione TLS minima durante la creazione dell'app:
gcloud app create --ssl-policy=TLS_VERSION
Per impostare una versione TLS minima durante l'aggiornamento dell'app:
gcloud app update --ssl-policy=TLS_VERSION
Sostituisci TLS_VERSION con TLS_VERSION_1_2. Consente solo TLS versione
1.2 e successive, con suite di crittografia moderne. Se vuoi consentire una versione TLS meno sicura,
ad esempio 1.0 e versioni successive, sostituisci TLS_VERSION con TLS_VERSION_1_0. Tuttavia, ti consigliamo di aggiornare le tue
applicazioni in modo che utilizzino l'ultima versione di TLS supportata.
Disattiva le versioni e le crittografie TLS personalizzate
Se aggiorni le impostazioni dell'applicazione in modo da utilizzare TLS versione 1.2 e successive, App Engine blocca automaticamente tutto il traffico non sicuro che utilizza TLS versione 1.1 e precedenti.
Se utilizzi
Cloud Load Balancing e NEG serverless
per indirizzare il traffico alla tua applicazione App Engine, puoi disattivare una versione TLS o una suite di crittografia definendo un'SSL security policy. Specifica le versioni TLS e le suite di crittografia che possono essere utilizzate dalle connessioni HTTPS o SSL.
[[["Facile da capire","easyToUnderstand","thumb-up"],["Il problema è stato risolto","solvedMyProblem","thumb-up"],["Altra","otherUp","thumb-up"]],[["Difficile da capire","hardToUnderstand","thumb-down"],["Informazioni o codice di esempio errati","incorrectInformationOrSampleCode","thumb-down"],["Mancano le informazioni o gli esempi di cui ho bisogno","missingTheInformationSamplesINeed","thumb-down"],["Problema di traduzione","translationIssue","thumb-down"],["Altra","otherDown","thumb-down"]],["Ultimo aggiornamento 2025-09-04 UTC."],[[["\u003cp\u003eThis webpage's feature is currently unavailable.\u003c/p\u003e\n"],["\u003cp\u003eThe feature will be launched soon.\u003c/p\u003e\n"]]],[],null,["# Secure your app with minimum TLS (flexible environment)\n\n\u003cbr /\u003e\n\n\u003cbr /\u003e\n\n\u003cbr /\u003e\n\n\u003cbr /\u003e\n\n\u003cbr /\u003e\n\n\u003cbr /\u003e\n\nTo increase security, starting in March 2025, support for Transport Layer Security (TLS) version 1.1 and earlier is deprecated. [Update your application settings](#update-tls) in the App Engine flexible environment to use TLS version 1.2 and later, along with a corresponding secure set of cipher suites.\n|\n| **Preview\n| --- Secure your app with minimum TLS**\n|\n|\n| This feature is subject to the \"Pre-GA Offerings Terms\" in the General Service Terms section\n| of the [Service Specific Terms](/terms/service-terms#1).\n|\n| Pre-GA features are available \"as is\" and might have limited support.\n|\n| For more information, see the\n| [launch stage descriptions](/products#product-launch-stages).\n\nWhen you select the latest TLS version, App Engine automatically\nblocks insecure traffic, without requiring you to\n[configure](/load-balancing/docs/https/setting-up-https-serverless) a\nglobal external Application Load Balancer to route requests to your application.\n\nTo upgrade your existing applications to use\nonly TLS version 1.2 and later, follow the [instructions](#update-tls) in this\nguide.\n| **Note:** If you update your application settings to enforce TLS version 1.2 and later, App Engine automatically rejects incoming requests that attempt to use older, less secure TLS versions 1.1 and earlier. Before March 2026, this rejection causes a `400 Bad Request - The request was malformed` error, after a successful TLS handshake, meaning the connection is established, but the request itself is denied. External SSL-checking sites might only verify a successful TLS handshake, and incorrectly imply that TLS version 1.1 and earlier are still supported. After March 2026, App Engine ensures stricter security compliance by preventing the TLS handshake itself for connections using TLS version 1.1 and earlier.\n\nSupported TLS versions and cipher suites\n----------------------------------------\n\nThe security of TLS connections depends on the negotiated cipher suite, a\ncombination of cryptographic algorithms. These cipher suites are identified by\nIANA values, as detailed in the following table:\n\nIf you need to use a different or a less restrictive cipher suite, we recommend\nthat you use a global external Application Load Balancer. For more information, see [Set up a classic Application Load Balancer with App Engine](/load-balancing/docs/https/setting-up-https-serverless) and [SSL policies for SSL and TLS protocols](/load-balancing/docs/ssl-policies-concepts#defining_an_ssl_policy) in the Cloud Load Balancing documentation.\n\nUpdate the TLS versions allowed for your app\n--------------------------------------------\n\nYou can update the TLS version using the Google Cloud console or the\ngcloud CLI. For tool-specific steps, click the tab for your preferred\ntool: \n\n### Console\n\n1. In the Google Cloud console, go to the App Engine **Settings** page:\n\n [Go to Settings](https://console.cloud.google.com/appengine/settings)\n2. In the **Application settings** tab, click **Edit application settings**.\n\n3. From the **SSL Policy** list, select **TLS 1.2+ (Modern ciphers)** .\n This selection only allows TLS version 1.2 and later, with modern cipher\n suites. If you want to allow less secure TLS versions,\n such as 1.0 and later, select **TLS 1.0+ (Obsolete)** . However, we\n recommend that you update your applications to use the latest [supported](#supported-versions) TLS version.\n\n4. Click **Save**.\n\n### gcloud\n\nWhen you create or update your application, use the `--ssl-policy` flag to\nspecify the minimum permitted TLS version.\n\nTo set a minimum TLS version while creating your app: \n\n gcloud app create --ssl-policy=\u003cvar translate=\"no\"\u003eTLS_VERSION\u003c/var\u003e\n\nTo set a minimum TLS version while updating your app: \n\n gcloud app update --ssl-policy=\u003cvar translate=\"no\"\u003eTLS_VERSION\u003c/var\u003e\n\nReplace \u003cvar translate=\"no\"\u003eTLS_VERSION\u003c/var\u003e with `TLS_VERSION_1_2`. This only allows TLS version\n1.2 and later, with modern cipher suites. If you want to allow less secure TLS version,\nsuch as, 1.0 and later, replace \u003cvar translate=\"no\"\u003eTLS_VERSION\u003c/var\u003e with `TLS_VERSION_1_0`. However, we recommend that you update your\napplications to use the latest [supported](#supported-versions) TLS version.\n\nDisable custom TLS versions and ciphers\n---------------------------------------\n\nIf you update your application settings to use TLS version 1.2 and later, App Engine automatically blocks all insecure traffic using TLS version 1.1 and earlier.\n\nIf you use\n[Cloud Load Balancing and serverless NEGS](/load-balancing/docs/negs/serverless-neg-concepts)\nto route traffic to your App Engine application, you can disable a TLS\nversion or cipher by defining an [SSL security policy](/load-balancing/docs/ssl-policies-concepts). Specify the TLS versions and ciphers that HTTPS or SSL\nconnections can use.\n\nWhat's next\n-----------\n\n- To verify and manage SSL certificates, see [Secure custom domains with SSL](/appengine/docs/flexible/securing-custom-domains-with-ssl).\n\n- To enable Cloud Load Balancing to manage incoming requests to your custom domain, see\n [Migrate App Engine custom domain to Cloud Load Balancing](/appengine/docs/flexible/custom-domain-to-cloud-load-balancing)."]]
