安全最佳实践

🔒 HTTPS 安全加固

仅仅安装SSL证书是不够的，还需要进行全面的HTTPS安全配置来保护您的网站和用户。

核心安全原则

🚀 HSTS (HTTP Strict Transport Security)

HSTS强制浏览器只使用HTTPS连接您的网站，有效防止SSL剥离攻击（SSL Stripping）。

为什么需要HSTS？

Nginx HSTS配置

# 在 server 块中添加
add_header Strict-Transport-Security "max-age=31536000; includeSubDomains; preload" always;

# 参数说明：
# max-age=31536000     → 有效期1年（秒）
# includeSubDomains    → 包含所有子域名
# preload              → 提交到浏览器预加载列表（需谨慎）
# always               → 所有响应都添加此头（包括错误页）

Apache HSTS配置

<IfModule mod_headers.c>
    Header always set Strict-Transport-Security "max-age=31536000; includeSubDomains; preload"
</IfModule>

🛡️ 安全响应头

除了HSTS，还应配置以下安全头以增强防护：

Nginx 完整安全头配置

# 安全响应头
add_header X-Frame-Options "SAMEORIGIN" always;
add_header X-Content-Type-Options "nosniff" always;
add_header X-XSS-Protection "1; mode=block" always;
add_header Referrer-Policy "strict-origin-when-cross-origin" always;

# 内容安全策略（根据实际需求调整）
add_header Content-Security-Policy "default-src 'self'; script-src 'self' 'unsafe-inline' 'unsafe-eval'; style-src 'self' 'unsafe-inline'; img-src 'self' data: https:; font-src 'self' data:;" always;

# 权限策略
add_header Permissions-Policy "camera=(), microphone=(), geolocation=()" always;

⚙️ TLS 配置优化

协议版本选择

Nginx TLS优化配置

# 仅启用TLS 1.2 和 1.3
ssl_protocols TLSv1.2 TLSv1.3;

# 推荐的加密套件（2026年最新）
ssl_ciphers ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305:DHE-RSA-AES128-GCM-SHA256:DHE-RSA-AES256-GCM-SHA384;

# 优先使用服务器的密码顺序
ssl_prefer_server_ciphers off;

# 会话缓存
ssl_session_cache shared:SSL:50m;
ssl_session_timeout 1d;
ssl_session_tickets on;

# OCSP Stapling
ssl_stapling on;
ssl_stapling_verify on;
ssl_trusted_certificate /path/to/fullchain.pem;
resolver 8.8.8.8 8.8.4.4 valid=300s;
resolver_timeout 5s;

验证TLS配置强度

📋 证书生命周期管理

自动化管理流程

证书到期提醒机制

#!/bin/bash
# check_ssl_expiry.sh - 检查证书到期时间

DOMAIN="yourdomain.com"
DAYS_WARNING=30

EXPIRY_DATE=$(echo | openssl s_client -servername $DOMAIN -connect $DOMAIN:443 2>/dev/null | openssl x509 -noout -enddate 2>/dev/null | cut -d= -f2)

if [ -z "$EXPIRY_DATE" ]; then
    echo "ERROR: 无法获取证书信息"
    exit 1
fi

EXPIRY_EPOCH=$(date -d "$EXPIRY_DATE" +%s)
NOW_EPOCH=$(date +%s)
DAYS_LEFT=$(( ($EXPIRY_EPOCH - $NOW_EPOCH) / 86400 ))

if [ $DAYS_LEFT -le $DAYS_WARNING ]; then
    echo "警告：证书将在 $DAYS_LEFT 天后过期！"
    # 发送告警邮件或调用API通知
else
    echo "正常：证书还有 $DAYS_LEFT 天过期"
fi

📊 监控与告警

关键监控指标

日志审计

# Nginx SSL相关日志格式
log_format ssl_log '$remote_addr - $remote_user [$time_local] '
                   '"$request" $status $body_bytes_sent '
                   '"$http_referer" "$http_user_agent" '
                   'ssl_protocol=$ssl_protocol '
                   'ssl_cipher=$ssl_cipher';

access_log /var/log/nginx/ssl_access.log ssl_log;

✅ 安全检查清单

部署完成后，请逐项确认以下安全措施：