Informujemy, że z dniem 21.07.2026 r., godz. 09:00 CEST (czas letni obowiązujący w Polsce, UTC+2) komunikacja z usługą MultiInfo dostępną pod adresami w wersji produkcyjnej: www.multiinfo.plus.pl, api1.multiinfo.plus.pl oraz api2.multiinfo.plus.pl zostanie skonfigurowana w sposób analogiczny do środowiska QA (www.qa.multiinfo.plus.pl, api1.qa.multiinfo.plus.pl, api2.qa.multiinfo.plus.pl).
Zmiana ma na celu realizację wymaganych standardów bezpieczeństwa TLS w środowisku produkcyjnym.
Główne parametry aktualizacji konfiguracji TLS:
• Komunikacja będzie realizowana wyłącznie z wykorzystaniem protokołu TLS 1.2.
• Protokoły TLS 1.0, TLS 1.1, SSL 2.0 oraz SSL 3.0 będą wyłączone.
• Wykorzystywane będą certyfikaty RSA 2048 bitów wystawione przez zaufane publiczne urzędy certyfikacji.
• Włączona będzie obsługa HSTS (HTTP Strict Transport Security) z rocznym okresem ważności polityki.
• Włączone będzie OCSP Stapling umożliwiające sprawniejszą weryfikację statusu certyfikatów.
• Konfiguracja zapewnia obsługę Forward Secrecy (FS).
• Środowisko zachowuje szeroką kompatybilność z aktualnymi przeglądarkami, systemami operacyjnymi i bibliotekami klienckimi wykorzystującymi TLS 1.2.
Aktualnie wszystkie powszechnie wykorzystywane systemy i biblioteki klienckie obsługują protokół TLS 1.2 automatycznie, dlatego planowana zmiana nie wymaga żadnych działań po stronie użytkowników usługi. Jednocześnie udostępniamy środowisko testowe pod adresami api1.qa.multiinfo.plus.pl, api2.qa.multiinfo.plus.pl oraz www.qa.multiinfo.plus.pl, umożliwiające przeprowadzenie własnych testów kompatybilności przed wdrożeniem zmian na środowisku produkcyjnym.
Uwagi:
Konfiguracja środowiska QA uzyskała ocenę B w SSL Labs. Ocena wynika przede wszystkim z braku obsługi TLS 1.3 oraz stosowania pakietów szyfrów opartych o AES-CBC, które obecnie nie są uznawane za najnowszy standard. Mimo to konfiguracja spełnia podstawowe wymagania bezpieczeństwa, wykorzystuje wyłącznie TLS 1.2 oraz nie wykazuje znanych podatności takich jak Heartbleed, ROBOT, POODLE czy Ticketbleed. Jednocześnie kontynuowane są intensywne prace nad wdrożeniem kolejnych mechanizmów bezpieczeństwa, które pozwolą na dalsze podniesienie parametrów odpowiadających za bezpieczeństwo usługi. |