SSLLABS.com Post-Quantum 100% score

[BasHouse]

Beste mede-Tweakers,

Het is me gelukt!!

De Post-Quantum SSLLABS.com 100% score kan je krijgen als dit allemaal aanstaat:

TLS 1.3, PQC, CAA en HSTS Preload

Toch bleef de Key Exchange-score van SSLLABS.com op 90% hangen.

De oplossing bleek verrassend simpel:

secp384r1 in de ECDH-curve configuratie van Nginx:

ssl_ecdh_curve SecP384r1MLKEM1024:secp384r1:X25519MLKEM768:X25519;


zie hier:


https://www.computerbas.nl/toolbox/ssl100/

en het levende voorbeeld:

https://www.checktls.nl/

https://www.ssllabs.com/ssltest/analyze.html?d=www.checktls.nl

en ja, ik moest dit even doen gezien de naam van mijn website

[ Voor 11% gewijzigd door BasHouse op 09-09-2026 06:22 ]

[CH4OS]

Het ligt er maar aan zie ik. Voor mijn pagina's wordt PQC al reeds ondersteunt, maar heb ik 2 cypher suites aan staan die intussen als weak bestempeld worden, waardoor ik op een A uitkom nu, wat ook geen slechte score is.

Verder mis ik een beetje waarom jouw website hierbij nodig zou zijn, SSL Labs vertelt mij immers hetzelfde en is een bewezen tool.

[BasHouse]

ja maar ik heb geen enkele website kunnen vinden die mijn score haalt.

[CH4OS]

Toen ik net op https://www.ssllabs.com/ssltest/ keek, stonden bij recent 2 entries met A+, maar een heel groot deel (waaronder ik) kiest ervoor om de URL niet zichtbaar te delen, dat je het niet ziet, betekent dus niet dat het er niet is.

Edit: nu staat er bij mij dus eentje tussen met A+, na een refresh althans.

[ Voor 13% gewijzigd door CH4OS op 09-09-2026 07:29 ]

[BasHouse]

Ja die A+ krijg je ook als de key exchange op 90% staat..

SSL Labs is absoluut een bewezen tool en al jaren de gouden standaard.

Maar SSL Labs heeft op dit moment een frats nodig om 100% Key Exchange én Post-Quantum Cryptografie (PQC) aan te hebben.

Het probleem:

je Key Exchange-balk blijft steken op 90%, tenzij je een frats uithaalt met de curve SecP384r1

Je moet de oude scanner dus 'pleasen' om die 100% te zien, terwijl je in de praktijk al maximaal quantum-veilig bent.

checktls.nl (powered by testssl.sh) geeft gewoon de echte status.

Als je server modern is ingericht en de PQC aan heeft, krijg je bij checktls.nl gewoon die 100% score, zónder de verouderde rating-logica.

Het is dus een tegenhanger:

checktls.nl beloont je voor een correcte PQC-implementatie van nu, in plaats van te benchmarken tegen de starre TLS-regels uit het pre-quantum tijdperk op ssllabs.com

Snappie?

[ Voor 88% gewijzigd door BasHouse op 09-09-2026 08:00 ]

[Jester-NL]

Mijn sites scoren ook keurig een A+ op zowel SSLlabs als op jou site.
En om heel eerlijk te zijn... ik vind het (vooralsnog) prima dat zulks met twee balkjes van 90% lukt. Ik heb niet de luxe dat de hele server van mij is, en op een shared hosting-omgeving heb ik niet de rechten om alles zo te zetten als ik dat zou willen.

Dat gezegd hebbende: als ik via jou site die securityheaders,nl wil laten testen, dan scoor ik een F, terwijl ik op securityheaders.com een A+ scoor. Ik zie dat ik tegen de volgende fout aanloop: HTTP/1.1 406 Not Acceptable server: nginx
Nogmaals, dat is op shared hosting

[BasHouse]

Ah! thanks voor de input jester! Ik duik er meteen in! En heb je die .htaccess fix gezien? Die securityheaders.nl staat ook op shared hosting en heeft zelf de 100% score...

[Jester-NL]

BasHouse schreef op woensdag 9 september 2026 @ 10:02:
Ah! thanks voor de input jester! Ik duik er meteen in! En heb je die .htaccess fix gezien? Die securityheaders.nl staat ook op shared hosting en heeft zelf de 100% score...

Ik zeg het, met mijn huidige .htaccess scoor ik bij securityheaders.com een A+, en op jouw site 0 / F.
Die fixes doen daar niets aan af, omdat ik eigenlijk alles al netjes heb ingesteld. ik loop op het moment van testen tegen die 406-melding aan.

Voor de rest... Chapeau! Ook ik zie niet vaak mensen die proberen hun site(s) zo strak mogelijk te beveiligen

[ Voor 10% gewijzigd door Jester-NL op 09-09-2026 10:11 ]

[CH4OS]

Overigens kun je ook zonder PQC support alsnog een A+ halen. Momenteel heb ik dat namelijk in een van mijn (sub)domeinen, maar dat ga ik ook even herstellen (weet de oorzaak). Het is dus zeker niet zo dat je zonder PQC geen A+ meer kan scoren dus.



Het is intussen ook weer herstelt.

[ Voor 17% gewijzigd door CH4OS op 09-09-2026 21:42 ]

[BasHouse]

Het idee is 8 groene balken zoals hier: