Cloudflare TLS 1.3 obbligatorio: come abilitare e disattivare versioni vecchie

TLS 1.3 è la versione moderna del protocollo Transport Layer Security, finalizzata nel 2018. Offre handshake più veloce (1-RTT vs 2-RTT di TLS 1.2), cipher suites più sicure (rimossi RC4, 3DES, MD5), forward secrecy obbligatorio e protezione contro downgrade attack. Cloudflare lo supporta dal 2018 e permette di renderlo obbligatorio disabilitando versioni vecchie. Per siti che richiedono compliance PCI-DSS, GDPR healthcare o massima sicurezza, è la configurazione raccomandata.

Versioni TLS disponibili

TLS 1.0 e 1.1: deprecate dal 2020, vietate da PCI-DSS, browser moderni le rifiutano. Mantenerle attive è una vulnerabilità. TLS 1.2: ancora ampiamente supportata, sicura se configurata con cipher suite moderni. TLS 1.3: stato dell'arte. Su Cloudflare puoi impostare il minimum TLS version, rifiutando tutte le versioni inferiori. La maggior parte dei browser moderni dal 2019 supporta TLS 1.3, quindi forzarlo non taglia traffico legittimo.

Procedura passo-passo

1. Vai sul dashboard Cloudflare → SSL/TLS → Edge Certificates.
2. Trova la sezione Minimum TLS Version.
3. Imposta il valore desiderato: TLS 1.2 (raccomandato baseline), TLS 1.3 (massimo).
4. Attiva il toggle TLS 1.3 per consentire la versione 1.3 (default on).
5. Attiva Opportunistic Encryption e Onion Routing opzionalmente.
6. Verifica con SSL Labs il rating: deve essere A+.
7. Testa con curl: curl --tlsv1.3 https://tuosito.it deve funzionare, curl --tlsv1.0 https://tuosito.it deve fallire.
8. Monitora analytics traffic per identificare client che falliscono handshake.
9. Se ci sono client legacy, considera ammettere TLS 1.2 ma non meno.
10. Documenta scelta per audit compliance.

Compatibilità browser

Browser che supportano TLS 1.3: Chrome 70+, Firefox 63+, Safari 12.1+, Edge 79+, Opera 57+. Praticamente tutti i browser usati nel 2026 supportano TLS 1.3. Il rischio di taglio traffico è zero per utenti modern, ma include IE11 (deprecato) e versioni Android <7 (poco usate). Per sicurezza forzare TLS 1.2 minimum è raccomandato; forzare TLS 1.3 minimum taglia <0.5% utenti tipici.

Cipher Suites

TLS 1.3 ha una lista ristretta di cipher suite, tutte sicure di default: AES-128-GCM-SHA256, AES-256-GCM-SHA384, CHACHA20-POLY1305-SHA256. Niente più scelta tra RC4 (rotto), 3DES (debole), null cipher (insicuro). Cloudflare gestisce automaticamente la selezione del cipher migliore in base al client. Su Enterprise plan è possibile personalizzare ulteriormente ma raramente necessario.

Errori comuni e come risolverli

• Vecchi POS bloccati: dispositivi industriali con TLS 1.0 hardcoded. Considera certificato dedicato non-Cloudflare per loro.
• API legacy fails: il client B2B usa TLS 1.0. Aggiorna client o esenta via Worker.
• Test SSL Labs A non A+: HSTS mancante o cipher suite subottimali. Attiva HSTS preload.
• App Java vecchia falls: Java 7 supporta solo TLS 1.0. Upgrade Java.
• WordPress wp-cron interno fails: PHP<7.4 senza TLS 1.3. Upgrade PHP.

HSTS e TLS 1.3

HSTS e TLS 1.3 vanno spesso configurati insieme per massimo livello di sicurezza. HSTS forza HTTPS lato browser, TLS 1.3 garantisce che HTTPS sia moderno. Configurazione raccomandata: HSTS max-age 31536000 (1 anno), includeSubDomains true, preload true. Submetti il dominio a hstspreload.org per inclusione nella list precaricata dei browser. Questa combinazione difende da SSL stripping, downgrade attack, MITM su WiFi pubblici.

0-RTT considerazioni

TLS 1.3 introduce 0-RTT (Zero Round-Trip Time) che permette al client di inviare dati nella prima richiesta. Velocissimo ma con rischio teorico di replay attack. Cloudflare mitiga limitando 0-RTT a metodi idempotenti (GET, HEAD) e con replay protection window. Attivabile dalla scheda Edge Certificates. Per la maggior parte dei siti il guadagno di latenza supera ampiamente il rischio.

Compliance e regulation

Vari standard richiedono o raccomandano TLS 1.2+ minimum: PCI-DSS 4.0 vieta TLS 1.0/1.1 dal 2018. HIPAA raccomanda TLS 1.2+. GDPR menziona "stato dell'arte" che oggi è 1.3. NIST raccomanda 1.3. Per audit compliance configura Cloudflare con minimum TLS 1.2 baseline, idealmente 1.3 se la base utenti lo supporta. Documenta la scelta nel security plan organizzativo.

Domande frequenti

D: TLS 1.3 è incluso anche su Free?
R: Sì, completamente gratuito su tutti i piani.

D: Posso impostare diverso TLS per subdomain?
R: Sì con Configuration Rules su piano Pro+.

D: TLS 1.3 e Universal SSL?
R: Pienamente compatibili, Universal SSL supporta 1.3 by default.

D: Performance impact di TLS 1.3?
R: Positivo: handshake più veloce di 1.2, latenza migliore.

Considerazioni operative finali

Quando applichi una configurazione di questo tipo in produzione è sempre buona norma seguire un'approccio incrementale: parti con un test su staging, monitora gli effetti per qualche giorno, poi estendi gradualmente al traffico live. La rete Cloudflare elabora ogni cambiamento in pochi secondi a livello globale, quindi le modifiche sono effettive quasi immediatamente, ma gli effetti collaterali su utenti reali possono richiedere ore o giorni per emergere. Annota nel runbook interno data, motivo e parametri di ogni modifica significativa. Una documentazione precisa accelera enormemente il troubleshooting futuro e facilita il passaggio di consegne tra membri del team.

Vale anche la pena ricordare che Cloudflare aggiorna frequentemente l'interfaccia del dashboard e le posizioni delle voci di menu. La logica e le funzionalità descritte in questa guida restano valide, ma il percorso esatto per raggiungere ogni opzione può variare leggermente nel tempo. In caso di difficoltà a trovare una specifica voce, utilizza la barra di ricerca interna del dashboard oppure consulta la documentazione ufficiale aggiornata. La community Cloudflare sul forum ufficiale e su Stack Overflow è inoltre molto attiva e offre spesso risposte rapide a problemi specifici di configurazione.

Per progetti complessi che coinvolgono più servizi Cloudflare contemporaneamente (CDN, Workers, WAF, Access, R2) conviene strutturare la configurazione come codice tramite Terraform o Pulumi. Questo permette versioning, code review, rollback atomici e deploy ripetibili tra environment. Per team con esigenze più semplici la gestione manuale via dashboard resta perfettamente valida, soprattutto se accompagnata da una checklist scritta delle impostazioni applicate. La scelta dell'approccio dipende dalle dimensioni del progetto e dal grado di automazione desiderato. L'importante è essere consistenti e mantenere tracciabilità delle modifiche effettuate.

Hai bisogno di aiuto?

Se vuoi configurare Cloudflare per il tuo sito con il team di G Tech Group, scrivici tramite il modulo di contatto.