Políticas de segurança aceitas
As tabelas a seguir descrevem as políticas de segurança que podem ser especificadas para cada tipo de endpoint de API REST e tipo de nome de domínio personalizado. Essas políticas permitem que você controle as conexões de entrada. O API Gateway aceita somente o TLS 1.2 na saída. Você pode atualizar a política de segurança da sua API ou nome de domínio personalizado a qualquer momento.
As políticas que contêm o FIPS no título são compatíveis com o Federal Information Processing Standard (FIPS), que é um padrão do governo dos EUA e do Canadá que especifica os requisitos de segurança para módulos criptográficos que protegem informações sensíveis. Para saber mais, consulte Federal Information Processing Standard (FIPS) 140
Todas as políticas do FIPS utilizam o módulo criptográfico AWS-LC validado pelo FIPS. Para saber mais, consulte a página AWS-LC Cryptographic Module
As políticas que contêm PQ no título utilizam criptografia pós-quântica (PQC)
As políticas que contêm PFS no título utilizam o Perfect Forward Secrecy (PFS)
As políticas que contêm FIPS e PQ em seus títulos comportam esses dois recursos.
Políticas de segurança padrão
Quando você cria uma API REST ou domínio personalizado, o recurso recebe uma política de segurança padrão. A tabela a seguir mostra a política de segurança padrão para esses recursos.
Recurso |
Nome da política de segurança padrão |
|---|---|
| APIs regionais | TLS_1_0 |
| APIs otimizadas para bordas | TLS_1_0 |
| APIs privadas | TLS_1_2 |
| Domínios regionais | TLS_1_2 |
| Domínio otimizado para borda | TLS_1_2 |
| Domínio privado | TLS_1_2 |
Políticas de segurança aceitas para APIs regionais e privadas e nomes de domínio personalizados
A tabela a seguir descreve as políticas de segurança que podem ser especificadas para nomes de domínio personalizados e APIs privadas e regionais.
Política de segurança |
Versões aceitas do TLS |
Criptografias compatíveis |
|---|---|---|
| SecurityPolicy_TLS13_1_3_2025_09 | TLS1.3 |
TLS1.3
|
| SecurityPolicy_TLS13_1_3_FIPS_2025_09 | TLS1.3 |
TLS1.3
|
| SecurityPolicy_TLS13_1_2_PFS_PQ_2025_09 | TLS1.3 TLS1.2 |
TLS1.3
TLS1.2
|
| SecurityPolicy_TLS13_1_2_PQ_2025_09 | TLS1.3 TLS1.2 |
TLS1.3
TLS1.2
|
| TLS_1_2 | TLS1.3 TLS1.2 |
TLS1.3
TLS1.2
|
| TLS_1_0 |
TLS1.3 TLS1.2 TLS1.1 TLS1.0 |
TLS1.3
TLS1.0-TLS1.2
|
Políticas de segurança aceitas para APIs otimizadas para borda e nomes de domínio personalizados
A tabela a seguir descreve as políticas de segurança que podem ser especificadas para APIs e nomes de domínio personalizados otimizados para borda.
Nome da política de segurança |
Versões aceitas do TLS |
Criptografias compatíveis |
|---|---|---|
| SecurityPolicy_TLS13_2025_EDGE | TLS1.3 |
TLS1.3
|
| SecurityPolicy_TLS12_PFS_2025_EDGE |
TLS1.3 TLS1.2 |
TLS1.3
TLS1.2
|
| SecurityPolicy_TLS12_2018_EDGE |
TLS1.3 TLS1.2 |
TLS1.3
TLS1.2
|
| TLS_1_0 |
TLS1.3 TLS1.2 TLS1.1 TLS1.0 |
TLS1.3
TLS1.0-TLS1.2
|
Nomes das criptografias OpenSSL e RFC
OpenSSL e IETF RFC 5246 usam nomes diferentes para as mesmas cifras. A tabela a seguir mapeia o nome do OpenSSL para o nome do RFC para cada criptograma. Para ter mais informações, consulte ciphers
Nome da criptografia OpenSSL |
Nome da criptografia RFC |
|---|---|
TLS_AES_128_GCM_SHA256 |
TLS_AES_128_GCM_SHA256 |
TLS_AES_256_GCM_SHA384 |
TLS_AES_256_GCM_SHA384 |
TLS_CHACHA20_POLY1305_SHA256 |
TLS_CHACHA20_POLY1305_SHA256 |
ECDHE-RSA-AES128-GCM-SHA256 |
TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256 |
ECDHE-RSA-AES128-SHA256 |
TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256 |
ECDHE-RSA-AES128-SHA |
TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA |
ECDHE-RSA-AES256-GCM-SHA384 |
TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384 |
ECDHE-RSA-AES256-SHA384 |
TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384 |
ECDHE-RSA-AES256-SHA |
TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA |
AES128-GCM-SHA256 |
TLS_RSA_WITH_AES_128_GCM_SHA256 |
AES256-GCM-SHA384 |
TLS_RSA_WITH_AES_256_GCM_SHA384 |
AES128-SHA256 |
TLS_RSA_WITH_AES_128_CBC_SHA256 |
AES256-SHA |
TLS_RSA_WITH_AES_256_CBC_SHA |
AES128-SHA |
TLS_RSA_WITH_AES_128_CBC_SHA |
DES-CBC3-SHA |
TLS_RSA_WITH_3DES_EDE_CBC_SHA |
