SKILL.md
tls13_termination
Terminación TLS 1.3 en el API Gateway para cifrar todo el tráfico entre clientes y el sistema. TLS 1.3 elimina handshakes inseguros y reduce la latencia de conexión con 0-RTT.
When to use
Configurar en el apigatewayagent (Nginx) como punto de terminación TLS para todo el tráfico externo. Todo endpoint público debe estar protegido con TLS 1.3.
Instructions
- Generar certificados con cert-manager o Let's Encrypt.
- Configurar Nginx:
``nginx sslprotocols TLSv1.3; sslpreferserverciphers off; sslcertificate /etc/ssl/certs/server.crt; sslcertificate_key /etc/ssl/private/server.key; ``
- Habilitar HSTS:
add_header Strict-Transport-Security "max-age=63072000; includeSubDomains" always;. - Configurar OCSP stapling para validación rápida de certificados.
- Deshabilitar TLS 1.0/1.1/1.2 en producción.
- Probar con
openssl sclient -connect host:443 -tls13. - Monitorizar expiración de certificados con alertas 30 días antes.
Notes
- TLS 1.3 reduce el handshake de 2-RTT a 1-RTT (0-RTT para reconexiones).
- No usar certificados self-signed en producción; siempre Let's Encrypt o CA interna.
- Redirigir HTTP a HTTPS automáticamente:
return 301 https://$host$request_uri.