Untuk meningkatkan keamanan, App Engine secara otomatis mengikutsertakan aplikasi Anda dalam TLS versi 1.2 dan yang lebih baru, dengan cipher suite yang didukung, dan dapat memblokir traffic yang tidak aman secara permanen dengan TLS versi 1.1 dan yang lebih lama. Untuk domain appspot.com, pemblokiran ini terjadi di tingkat koneksi. Untuk domain kustom, koneksi mungkin berhasil, tetapi permintaan diblokir.
Jika project Anda diblokir secara permanen untuk menggunakan TLS versi 1.1 dan yang lebih lama, dan Anda memerlukan waktu tambahan untuk beralih ke TLS 1.2 dan yang lebih baru, hubungi Dukungan.
Untuk aplikasi baru, App Engine hanya mengizinkan traffic yang aman dengan TLS versi 1.2 dan yang lebih baru, dengan cipher suite yang didukung, secara default. Jika aplikasi Anda hanya memerlukan TLS versi 1.2 dan yang lebih baru dengan cipher suite yang didukung secara default, Anda tidak perlu mengonfigurasi Load Balancer Aplikasi eksternal global untuk merutekan permintaan. Namun, jika Anda perlu mendukung serangkaian cipher suite yang berbeda, atau mewajibkan penolakan tingkat koneksi (handshake) versi TLS yang tidak aman untuk domain kustom, konfigurasikan Load Balancer Aplikasi eksternal global.
Cipher suite dan versi TLS yang didukung
Keamanan koneksi TLS bergantung pada cipher suite yang dinegosiasikan, yaitu kombinasi algoritma kriptografi. Cipher suite ini diidentifikasi oleh nilai IANA, seperti yang dijelaskan dalam tabel berikut:
| Versi TLS | Nilai IANA | Cipher suite |
|---|---|---|
| TLS v1.3 | 0x1301 | TLS_AES_128_GCM_SHA256 |
| 0x1302 | TLS_AES_256_GCM_SHA384 | |
| 0x1303 | TLS_CHACHA20_POLY1305_SHA256 | |
| TLS v1.2 | 0xCCA9 | TLS_ECDHE_ECDSA_WITH_CHACHA20_POLY1305_SHA256 |
| 0xCCA8 | TLS_ECDHE_RSA_WITH_CHACHA20_POLY1305_SHA256 | |
| 0xC02B | TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256 | |
| 0xC02F | TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256 | |
| 0xC02C | TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384 | |
| 0xC030 | TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384 | |
| 0xC009 | TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA | |
| 0xC013 | TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA | |
| 0xC00A | TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA | |
| 0xC014 | TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA |
Jika Anda perlu menggunakan cipher suite yang berbeda atau kurang ketat, sebaiknya gunakan Load Balancer Aplikasi eksternal global. Untuk mengetahui informasi selengkapnya, lihat Menyiapkan Load Balancer Aplikasi klasik dengan App Engine dan Kebijakan SSL untuk protokol SSL dan TLS di dokumentasi Cloud Load Balancing.
Memperbarui versi TLS yang diizinkan untuk aplikasi Anda
App Engine dapat memblokir traffic yang tidak aman secara permanen dengan TLS versi 1.1 dan yang lebih lama. Untuk project yang versi TLS lamanya telah diblokir secara permanen, Anda tidak dapat menggunakan setelan berikut untuk mengupdate ke versi TLS lama. Jika project Anda memerlukan versi TLS yang lebih lama, hubungi Dukungan.
Saat Anda membuat atau mengupdate aplikasi, gunakan flag --ssl-policy untuk
menentukan versi TLS minimum yang diizinkan.
Untuk menetapkan versi TLS minimum saat membuat aplikasi:
gcloud app create --ssl-policy=TLS_VERSION
Untuk menetapkan versi TLS minimum saat mengupdate aplikasi Anda:
gcloud app update --ssl-policy=TLS_VERSION
Ganti TLS_VERSION dengan TLS_VERSION_1_2. Setelan ini hanya mengizinkan TLS versi 1.2 dan yang lebih baru, dengan cipher suite modern.
Menonaktifkan cipher dan versi TLS kustom
Jika Anda menggunakan Cloud Load Balancing dan NEG serverless untuk merutekan traffic ke aplikasi App Engine, Anda dapat membatasi lebih lanjut cipher atau versi TLS dengan menentukan kebijakan keamanan SSL di load balancer.
Langkah berikutnya
Untuk memverifikasi dan mengelola sertifikat SSL, lihat Mengamankan domain kustom dengan SSL.
Untuk mengaktifkan Cloud Load Balancing agar dapat mengelola permintaan masuk ke domain kustom Anda, lihat Memigrasikan domain kustom App Engine ke Cloud Load Balancing.