Gérer les versions TLS minimales pour Azure App Service, Azure Functions et Logic Apps (Standard)

Important

TLS 1.0 et TLS 1.1 sont abandonnés pour les connexions entrantes à Azure App Service, Azure Functions, Azure Logic Apps (Standard) et aux environnements App Service à compter du 31 mai 2027. Mettez à jour vos clients et vos paramètres d’application vers TLS 1.2 ou version ultérieure avant cette date. Pour plus d’informations et des étapes requises, consultez la mise hors service tls 1.0 et 1.1 .

Aperçu

Tls (Transport Layer Security) 1.0 et 1.1 sont des protocoles de sécurité hérités avec des vulnérabilités connues. La plateforme App Service met hors service la prise en charge de TLS 1.0 et 1.1 pour les connexions entrantes le 31 mai 2027. Configurez vos applications et clients pour utiliser TLS 1.2 ou version ultérieure avant cette date.

Vous pouvez appliquer une version TLS minimale pour les ressources de plateforme App Service suivantes :

  • Azure App Service (Web Apps sur Windows et Linux)
  • Azure Functions
  • Azure Logic Apps (Standard)
  • Environnements App Service (ASE)

Les nouvelles applications utilisent par défaut la version minimale TLS 1.2 ; cette valeur par défaut répond à l’exigence de retrait. Si vous définissez minTlsVersion explicitement ou scmMinTlsVersion 1.0 ou 1.1 sur un emplacement d’application ou de déploiement, remplacez-le par la version 1.2 ou ultérieure avant le 31 mai 2027. Consultez À propos de la mise hors service de TLS 1.0 et 1.1.

À propos de la mise hors service TLS 1.0 et 1.1

Le 31 mai 2027, la plateforme App Service cesse d’accepter les liaisons TLS 1.0 et 1.1 entrantes sur le point de terminaison de l’application et le point de terminaison SCM (Kudu). Le rejet se produit au niveau du front-end de la plateforme, quelles que soient les valeurs minTlsVersion et scmMinTlsVersion configurées dans l’application. Tout client qui négocie TLS 1.0 ou 1.1 ne parvient pas à se connecter après cette date.

Après le 31 mai 2027, les demandes de création d’applications ou de mise à jour d’applications existantes avec minTlsVersion ou scmMinTlsVersion définies sur 1.0 ou 1.1 peuvent également échouer.

Préparer la mise hors service

Avant May 31, 2027, procédez comme suit pour chaque application App Service, Azure Functions, Azure Logic Apps (Standard) et App Service Environment dans votre abonnement :

  1. Utilisez le classeur de retrait des services Azure pour rechercher des applications qui autorisent TLS 1.0 ou 1.1 — des applications où minTlsVersion ou scmMinTlsVersion est défini sur 1.0 ou 1.1.
  2. Pour chaque application exposée par le classeur, utilisez le détecteur de vérificateur de version TLS minimal pour déterminer si les clients se connectent réellement via TLS 1.0 ou 1.1.
  3. Mettez à jour ou remplacez les clients toujours à l’aide de TLS 1.0 ou 1.1. Consultez les scénarios courants qui utilisent TLS 1.0 ou 1.1.
  4. Définissez la version TLS entrante minimale et la version TLS entrante minimale SCM sur la version 1.2 (ou 1.3) sur chaque application et sur chaque emplacement de déploiement. Consultez Mettre à jour votre version minimale de TLS.

Vérifier votre version minimale de TLS

Votre application a deux paramètres de version TLS indépendants :

  • Version TLS entrante minimale : s’applique au trafic client vers votre application (par exemple). yourapp.azurewebsites.net
  • Version TLS entrante minimale SCM : s’applique au site SCM (Kudu) utilisé pour les déploiements, la diffusion en continu des journaux et les outils avancés (par exemple yourapp.scm.azurewebsites.net).

Les deux paramètres doivent être définis sur TLS 1.2 ou version ultérieure pour sécuriser entièrement votre application.

  1. Dans le portail Azure, accédez à votre application App Service, Functions ou Logic Apps (Standard).
  2. Dans le menu de gauche, sélectionnez Configuration des paramètres>.
  3. Sélectionnez l’onglet Paramètres généraux.
  4. Vérifiez les valeurs de la version TLS entrante minimale et de la version TLS entrante minimale SCM.

Note

Les emplacements de déploiement ont leurs propres paramètres TLS indépendants. Vérifiez chaque emplacement séparément.

Rechercher le trafic TLS 1.0 et 1.1

Avant de mettre à jour votre version minimale de TLS, vérifiez si votre application reçoit actuellement le trafic via TLS 1.0 ou 1.1. Cela vous aide à identifier les clients affectés par une modification.

  1. Dans le portail Azure, accédez à votre application App Service, Functions ou Logic Apps (Standard).
  2. Sélectionnez Diagnostiquer et résoudre les problèmes dans le menu de gauche.
  3. Recherchez le vérificateur de version TLS minimal.

Conseil / Astuce

La liste des détecteurs peut prendre un certain temps pour se charger. Si la recherche ne retourne aucun résultat, patientez quelques secondes et réessayez.

Le détecteur montre :

  • Paramètre de version TLS minimal actuel de votre application.
  • Résumé des requêtes par version TLS au cours des 24 dernières heures.
  • Clients qui ont effectué des requêtes à l’aide de TLS 1.0 et TLS 1.1.

Si vous voyez le trafic TLS 1.0 ou 1.1, identifiez ces clients avant de mettre à jour votre version minimale de TLS. Consultez les scénarios courants qui utilisent TLS 1.0 ou 1.1 pour obtenir des conseils.

Note

Ce détecteur affiche un instantané des dernières 24 heures. Vérifiez les heures de pointe du trafic pour obtenir une image plus complète.

Mettre à jour votre version minimale de TLS

Après avoir confirmé que vos clients prennent en charge TLS 1.2 ou version ultérieure, mettez à jour les paramètres de version minimale du site et du SCM. Cette étape est requise avant le 31 mai 2027 pour éviter toute interruption lorsque TLS 1.0 et 1.1 sont supprimés de la plateforme App Service.

  1. Dans le portail Azure, accédez à votre application App Service, Functions ou Logic Apps (Standard).
  2. Dans le menu de gauche, sélectionnez Configuration des paramètres>.
  3. Sélectionnez l’onglet Paramètres généraux.
  4. Définissez la version TLS entrante minimale sur 1.2.
  5. Définissez SCM version TLS entrante minimale sur la version 1.2.
  6. Sélectionnez Appliquer.

Note

Les emplacements de déploiement ont leurs propres paramètres TLS indépendants. Mettez à jour chaque emplacement séparément.

Rechercher des applications à l’aide d’anciennes versions TLS à grande échelle

Azure Resource Graph et les API de liste (telles que az webapp list et Get-AzWebApp) ne retournent siteConfig pas de propriétés. Pour auditer les versions TLS minimales de votre abonnement, utilisez Azure Policy.

Auditez à l’aide du classeur de mise hors service des services Azure

Le classeur de mise hors service des services Azure répertorie les ressources Azure qui autorisent les connexions entrantes TLS 1.0 ou 1.1, c’est-à-dire les ressources pour lesquelles la version TLS minimale est configurée de façon à autoriser ces versions. Filtrez le classeur par App Service pour afficher vos applications avec minTlsVersion ou scmMinTlsVersion défini sur 1.0 ou 1.1.

Cette vue est basée sur la configuration : elle indique quelles ressources acceptent TLS 1.0 ou 1.1, et non quelles ressources reçoivent réellement le trafic TLS 1.0 ou 1.1. Pour voir quels clients se connectent réellement à une application spécifique via TLS 1.0 ou 1.1, utilisez plutôt le détecteur de vérificateur de version TLS minimal sur cette application.

Auditer avec Azure Policy

Azure Policy évalue vos ressources côté serveur et signale les applications qui ne répondent pas à la version TLS requise, sans apporter de modifications.

  1. Dans le Portail Azure, recherchez et sélectionnez Stratégie.
  2. Sélectionnez Définitions dans le menu de gauche.
  3. Recherchez et assignez ces politiques d’audit :
    • App Service applications doivent utiliser la dernière version tls
    • Les slots d'application App Service doivent utiliser la dernière version TLS
    • Les applications de fonctions doivent utiliser la dernière version TLS.
    • Les emplacements d'application de fonction doivent utiliser la dernière version de TLS
  4. Définissez l’étendue sur votre abonnement ou groupe d’administration.
  5. Sélectionnez Vérifier + créer, puis Créer.
  6. Une fois les stratégies évaluées (jusqu’à 30 minutes pour une nouvelle affectation), accédez à Conformité des stratégies pour afficher les ressources non conformes.

Avertissement

Azure Policy propose également des stratégies de correction qui commencent par « Configurer » (par exemple, configurer des applications App Service pour utiliser la dernière version TLS). Ces stratégies utilisent un effet DeployIfNotExists et mettent à jour activement vos paramètres TLS. Attribuez uniquement des stratégies de correction après avoir confirmé que vos clients prennent en charge TLS 1.2 ou version ultérieure.

Note

Les stratégies intégrées auditent la version minimale TLS du site principal (minTlsVersion). Il n’existe actuellement aucune stratégie intégrée pour la version minimale tls du site SCM (scmMinTlsVersion). Vérifiez les paramètres SCM individuellement à l’aide de l’interface CLI ou des commandes PowerShell dans la section Vérifier la version minimale de TLS .

Pour obtenir la liste complète des définitions de stratégie App Service, consultez les définitions intégrées d’Azure Policy pour Azure App Service.

Scénarios courants qui utilisent TLS 1.0 ou 1.1

Voici les raisons courantes pour lesquelles votre application peut recevoir des requêtes entrantes à l’aide de TLS 1.0 ou 1.1. Si l’un de ces scénarios s’applique à vous, collaborez avec le propriétaire du client pour vous assurer qu’ils prennent en charge TLS 1.2 ou version ultérieure avant de mettre à jour la version minimale de TLS.

Scénario Les points à vérifier Plus d’informations
Clients .NET Framework appelant votre application Les versions antérieures à la version 4.7 peuvent être par défaut sur TLS 1.0, sauf configuration explicite Bonnes pratiques TLS avec .NET Framework
Clients Java plus anciens appelant votre application Les versions antérieures de Java peuvent ne pas négocier TLS 1.2 par défaut Résolution du problème TLS 1.0
Appareils mobiles plus anciens appelant votre application Les versions antérieures d’Android et d’iOS peuvent ne pas utiliser TLS 1.2 par défaut Tester avec vos appareils cibles
Appareils IoT ou incorporés appelant votre API Le microprogramme de l’appareil peut uniquement prendre en charge TLS 1.0 ou 1.1 Vérifier auprès du fabricant de l’appareil
Services tiers envoyant des webhooks à votre application La pile de l’appelant pourrait utiliser une version obsolète de TLS. Contactez le tiers pour confirmer la prise en charge de TLS 1.2
Agents CI/CD déployés sur votre site SCM Agents de build auto-hébergés sur des systèmes d’exploitation obsolètes Mettre à jour le système d’exploitation et les outils de l’ordinateur agent
Scripts appelant votre application (PowerShell, curl) Les runtimes de script plus anciens peuvent être par défaut sur TLS 1.0 Résolution du problème TLS 1.0

Conseils généraux pour les clients qui se connectent à votre application :

  • Mettez à jour les systèmes d’exploitation, les bibliothèques et les frameworks clients vers leurs dernières versions.
  • Évitez de coder en dur les versions du protocole TLS dans le code client. S'en remettre aux valeurs par défaut du système d'exploitation lorsque cela est possible.
  • Utilisez Fiddler sur l’ordinateur client pour vérifier la version TLS qu’il négocie avec votre application.

Questions fréquemment posées

Que se passe-t-il quand je définit une version minimale de TLS supérieure ?

La plateforme App Service rejette toutes les connexions entrantes qui utilisent une version TLS inférieure au minimum configuré. Les clients qui tentent de se connecter avec une version TLS non prise en charge reçoivent une erreur de connexion.

Dois-je mettre à jour chaque emplacement de déploiement ?

Yes. Chaque emplacement de déploiement a ses propres paramètres indépendants minTlsVersion et scmMinTlsVersion. Mettez à jour chaque emplacement individuellement.

Cela affecte-t-il les connexions sortantes à partir de mon application ?

Non. Cette modification s’applique uniquement aux connexions entrantes à votre application. Les connexions sortantes de votre application à d’autres services sont régies par les exigences TLS du serveur cible et la configuration du client de votre application.

Cela affecte-t-il des domaines personnalisés ou également *.azurewebsites.net ?

Les deux. Le paramètre de version TLS minimal s’applique à tout le trafic entrant vers votre application, quel que soit le nom d’hôte utilisé.

Cela s’applique-t-il à Azure Functions et Logic Apps ?

Yes. Azure Functions et Logic Apps (Standard) s’exécutent sur la plateforme App Service et prennent en charge les mêmes paramètres de version TLS. Logic Apps Consumption (multilocataire) fonctionne sur une plateforme distincte et n'est pas couvert dans cet article.

Que se passe-t-il si je ne mets pas à jour mon application avant le 31 mai 2027 ?

Les clients qui se connectent à l’aide de TLS 1.0 ou 1.1, y compris les navigateurs, les sdk, les scripts, les appareils IoT et les agents CI/CD, ne parviennent pas à se connecter après cette date. Voir À propos du retrait de TLS 1.0 et 1.1 pour plus de détails.

Cette mise hors service s’applique-t-elle aux environnements App Service ?

Yes. Les environnements App Service ont la même date de mise hors service, fixée au 31 mai 2027, que l’offre App Service mutualisée.

Contenu connexe

  • Dernière mise à jour :