<div dir="ltr">It's sort of makes sense that they won't allow it.<div><br></div><div>Users, regardless of best case, rarely have that many passwords, they generally reuse the same one.</div><div><br></div><div>If you allow weak encryption on your SMTP then when connections are made the password can be stolen and then often that password can be used to access other things.</div><div><br></div><div>As this is a shared hosting environment it's quite possible that a customer has the same password for email and cPanel or their website, and that's why it's part of PCI.<br></div><div><br></div><div>From what I know of PCI, anything on that server, that is accessible publicly, needs to be up to spec.</div><div class="gmail_extra"><br clear="all"><div><div class="m_6890071366014952342gmail_signature" data-smartmail="gmail_signature"><div dir="ltr"><div><div dir="ltr">Regards,<div><br></div><div>Bradley Silverman | VentraIP Australia<br><b>Technical Operations</b><br><br>mobile. +61 418 641 103<br>phone. +61 3 9013 8464<br></div></div></div></div></div></div>
<br><div class="gmail_quote">On Mon, Jul 23, 2018 at 3:27 PM, Rob Thomas <span dir="ltr"><<a href="mailto:xrobau@gmail.com" target="_blank">xrobau@gmail.com</a>></span> wrote:<br><blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex"><span>> But shouldn't your public mail server be out of scope for PCI?<br>
<br>
</span>Here. ladies and gentleman, is a nerd that has never encountered the<br>
insanity and conflicting information that is PCI.  Be quiet, we don't<br>
want to scare it.<br>
<br>
In all seriousness, yes, they will fail you if you have anything<br>
listening on a machine that accepts TLS1.0 connections.  Or maybe they<br>
won't. You don't know until you pay the $5k for the audit. And if they<br>
DO fail you, you have to fix it. So I'm guessing that is where Bradley<br>
is now. His PCI auditors have said 'No TLS1.0 on this server', and<br>
that's the end of the discussion.<br>
<br>
You don't get to reason with these people. They are accountants that<br>
run scripts and have a checklist.  Common sense does not enter into<br>
the equation.<br>
<span class="m_6890071366014952342HOEnZb"><font color="#888888"><br>
--Rob<br>
</font></span></blockquote></div><br></div></div>