HTTPS与TLS配置检查清单

本地处理

HTTPS 不等于「有证书就完事」。协议版本、加密套件、HSTS、OCSP Stapling 每一项都影响安全等级与握手速度。勾选你已配置的项，看还差什么。

安全得分

已完成项

待补齐项

评级

检查项	权重	状态

总分 100，12 项按重要度分配权重（TLS 1.3 与禁用旧版协议各 15 分，TLS 1.2 / HSTS / 自动续期 / 禁用弱套件各 10 分，其余各 5 分）。评级：≥90 为 A，≥75 为 B，≥60 为 C，其余 D。

HTTPS 配置的四个层次

把证书装上只解决了「加密了没有」的问题。真正影响安全等级的还有协议版本、加密套件、以及一系列容易被忽略的加固项。

层次	要点	不做的后果
协议版本	启用 TLS 1.3 + 1.2，禁用 1.0/1.1	降级攻击、BEAST/POODLE 类漏洞
加密套件	AEAD 优先，剔除 RC4/3DES/CBC	弱套件被强制协商，数据可被破解
传输加固	HSTS + includeSubDomains + preload	首次访问可被中间人劫持降级到 HTTP
运维健康	自动续期、OCSP Stapling、证书链完整	证书过期全站报警、握手变慢

没有 HSTS 时，用户第一次访问 http:// 地址会先发一个明文请求，攻击者可以在这个瞬间劫持并阻止升级——这被称为 SSL 剥离攻击。HSTS 让浏览器记住这个域名只能走 HTTPS，之后所有请求在浏览器本地就直接改写为 https，请求还没发出去就已经安全了。

开启 includeSubDomains 会连子域一起保护，但要谨慎：如果某个子域没有证书，用户将完全无法访问。preload 更进一步，把域名写进浏览器内置列表，连第一次访问都强制 HTTPS——不可逆，确认所有子域都就绪后再提交。

证书被吊销后，浏览器需要向 CA 查询吊销状态（OCSP）。这一步会额外发起一个到第三方服务器的连接，既慢又泄露用户访问了哪个网站。OCSP Stapling 让服务器自己缓存这份证明并随握手下发，浏览器无需外连——既提速又保护隐私，而且几乎没有配置成本。

证书链不完整：服务器只发了叶证书、没发中间证书。桌面浏览器往往能自动补齐（因为缓存过），但移动端和部分 API 客户端会直接报证书错误。用 SSL 检测工具看「链是否完整」。
忘记自动续期：免费证书只有 90 天有效期。每年因为证书过期导致全站不可用的案例，比被攻击的还多。用 ACME 客户端自动续期，并额外配置到期前 30 天的告警。

部分浏览器与客户端会因找不到中间证书而报错或警告；服务器应下发完整链（含中间证书），可用在线工具或命令行核验链的完整性。

旧设备根证书库更新滞后，对新根或新算法支持不足；为兼容性可选用覆盖更广的签发机构，并避免把最低协议版本设得过高。

页面用 HTTPS 却加载 HTTP 资源会被浏览器拦截或提示降级；应把资源地址全部改为 HTTPS，并检查脚本里的硬编码地址。