Para aumentar la seguridad, App Engine habilita automáticamente tu aplicación para que use TLS versión 1.2 y versiones posteriores, con conjuntos de algoritmos de cifrado compatibles, y podría bloquear de forma permanente el tráfico no seguro con TLS versión 1.1 y versiones anteriores. En el caso de los dominios de appspot.com, este bloqueo se produce a nivel de la conexión. En el caso de los dominios personalizados, es posible que la conexión se realice correctamente, pero las solicitudes se bloqueen.
Si tu proyecto está bloqueado de forma permanente para usar la versión 1.1 y versiones anteriores de TLS, y necesitas tiempo adicional para cambiar a TLS 1.2 y versiones posteriores, comunícate con el equipo de asistencia.
En el caso de las aplicaciones nuevas, App Engine solo permite el tráfico seguro con versión 1.2 de TLS y versiones posteriores, con conjuntos de algoritmos de cifrado compatibles, de forma predeterminada. Si tu aplicación solo requiere la versión 1.2 de TLS y versiones posteriores con los conjuntos de algoritmos de cifrado admitidos predeterminados, no necesitas configurar un balanceador de cargas de aplicaciones externo global para enrutar solicitudes. Sin embargo, si necesitas admitir un conjunto diferente de suites de cifrado o rechazar a nivel de conexión (protocolo de enlace) las versiones de TLS no seguras para dominios personalizados, configura un balanceador de cargas de aplicaciones externo global.
Versiones de TLS y conjuntos de algoritmos de cifrado compatibles
La seguridad de las conexiones TLS depende del conjunto de algoritmos de cifrado negociado, que es una combinación de algoritmos criptográficos. Estos conjuntos de algoritmos de cifrado se identifican con valores de IANA, como se detalla en la siguiente tabla:
| Versión de TLS | Valor de IANA | Conjunto de algoritmos de cifrado |
|---|---|---|
| TLS v1.3 | 0x1301 | TLS_AES_128_GCM_SHA256 |
| 0x1302 | TLS_AES_256_GCM_SHA384 | |
| 0x1303 | TLS_CHACHA20_POLY1305_SHA256 | |
| TLS v1.2 | 0xCCA9 | TLS_ECDHE_ECDSA_WITH_CHACHA20_POLY1305_SHA256 |
| 0xCCA8 | TLS_ECDHE_RSA_WITH_CHACHA20_POLY1305_SHA256 | |
| 0xC02B | TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256 | |
| 0xC02F | TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256 | |
| 0xC02C | TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384 | |
| 0xC030 | TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384 | |
| 0xC009 | TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA | |
| 0xC013 | TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA | |
| 0xC00A | TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA | |
| 0xC014 | TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA |
Si necesitas usar un conjunto de algoritmos de cifrado diferente o menos restrictivo, te recomendamos que uses un balanceador de cargas de aplicaciones externo global. Para obtener más información, consulta Configura un balanceador de cargas de aplicaciones clásico con App Engine y Políticas de SSL para los protocolos SSL y TLS en la documentación de Cloud Load Balancing.
Actualiza las versiones de TLS permitidas para tu app
Es posible que App Engine bloquee de forma permanente el tráfico no seguro con la versión 1.1 de TLS y versiones anteriores. En los proyectos en los que se bloquearon de forma permanente las versiones anteriores de TLS, no puedes usar los siguientes parámetros de configuración para actualizar a una versión anterior de TLS. Si tu proyecto requiere versiones anteriores de TLS, comunícate con el equipo de asistencia.
Cuando crees o actualices tu aplicación, usa la marca --ssl-policy para especificar la versión mínima permitida de TLS.
Para establecer una versión mínima de TLS mientras creas tu app, haz lo siguiente:
gcloud app create --ssl-policy=TLS_VERSION
Para establecer una versión mínima de TLS mientras actualizas tu app, haz lo siguiente:
gcloud app update --ssl-policy=TLS_VERSION
Reemplaza TLS_VERSION por TLS_VERSION_1_2. Esto solo permite la versión 1.2 de TLS y versiones posteriores, con conjuntos de cifrado modernos.
Inhabilita cifrados y versiones de TLS personalizados
Si usas Cloud Load Balancing y NEG sin servidores para enrutar el tráfico a tu aplicación de App Engine, puedes restringir aún más las versiones o los algoritmos de cifrado de TLS definiendo una política de seguridad de SSL en tu balanceador de cargas.
¿Qué sigue?
Para verificar y administrar los certificados SSL, consulta Protege dominios personalizados con SSL.
Para habilitar Cloud Load Balancing para que administre las solicitudes entrantes a tu dominio personalizado, consulta Migra el dominio personalizado de App Engine a Cloud Load Balancing.