TLS 1.3 définit cinq suites : TLS_AES_128_GCM_SHA256 (0x1301), TLS_AES_256_GCM_SHA384 (0x1302), TLS_CHACHA20_POLY1305_SHA256 (0x1303), TLS_AES_128_CCM_SHA256 (0x1304) et TLS_AES_128_CCM_8_SHA256 (0x1305). L’échange de clés et les algorithmes de signature sont négociés séparément, via supported_groups et signature_algorithms.
En TLS 1.2, les noms encodent tout, par exemple TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256 (0xC02B) : échange de clés ECDHE, authentification ECDSA, AES-128-GCM, SHA-256 pour la PRF. La RFC 9325 ne recommande pour TLS 1.2 que les suites AEAD avec ECDHE ou DHE ; le transport de clé RSA, les suites CBC, RC4, 3DES et les suites d’exportation sont tous obsolètes.
OpenSSL configure les deux listes séparément (-ciphersuites pour TLS 1.3, -cipher pour TLS 1.2 et les versions antérieures) et utilise ses propres noms (ECDHE-ECDSA-AES128-GCM-SHA256). Le générateur de configurations TLS produit des paramètres de serveur à jour.