HTTPS全链路安全需覆盖客户端到CDN节点、回源链路及源站服务器三段加密：接入链路须用可信CA证书并启用TLS 1.3；回源链路必须HTTPS且校验证书；源站需强化密钥管理、启用HSTS并杜绝混合内容，辅以持续监控与自动续签。
HTTPS 全链路安全不是只配好一个证书就完事，而是要确保从用户浏览器发起请求，到 CDN 边缘节点、回源链路、再到源站服务器，每一段都真正启用加密且配置一致。任意一环降级或疏漏，都会导致“表面 HTTPS、实际裸奔”的风险。
接入链路：客户端到边缘节点的可信加密
这是用户最先感知的一环，核心是证书有效性与协议强度：
- 使用由受信任 CA 签发的 DV/OV 证书（生产环境避免自签名），确保证书覆盖所有访问域名（含 www 与非 www、API 子域等）
- 强制启用 TLS 1.2 及以上版本，明确禁用 SSLv3、TLSv1.0 和 TLSv1.1；推荐在边缘配置中直接启用 TLS 1.3（如阿里云 ESA、腾讯云 CDN 均已支持）
- 配置完整证书链（fullchain.pem），避免因中间 CA 缺失导致部分客户端（如 Android 4.x、旧版 Java）验证失败
- 开启 OCSP Stapling，减少握手延迟并规避 CA 端查询失败带来的连接中断
回源链路：边缘节点到源站的加密不妥协
很多团队只重视接入层 HTTPS，却放行 HTTP 回源，等于把加密通道在最后一公里拆掉：
- 必须启用 HTTPS 回源，且源站需配置有效证书（可与接入证书相同，也可使用独立内网证书）
- 回源时验证源站证书有效性（校验域名、有效期、CA 信任链），禁用“跳过证书校验”选项
- 若源站部署在私有网络或容器环境中，建议使用私有 CA 签发证书 + 边缘节点预置根证书方式，兼顾安全与可控性
- 避免混合回源：同一域名下不能部分路径 HTTP 回源、部分 HTTPS 回源
源站服务：后端真实处理层的加固要点
源站不仅是响应终点，更是密钥与策略的实际执行者：
- Web 服务器（Nginx/Apache）配置中明确指定 ssl_protocols 和 ssl_ciphers，优先选用 AEAD 类套件（如 TLS_AES_256_GCM_SHA384、ECDHE-ECDSA-AES256-GCM-SHA384）
- 私钥权限严格设为 600，存储路径不在 Web 可访问目录内；高敏感业务建议使用 HSM 或云厂商 KMS 托管密钥
- 启用 HSTS 响应头：Strict-Transport-Security: max-age=31536000; includeSubDomains; preload，但上线前务必确认所有子域均已支持 HTTPS
- 禁止混合内容：页面内所有资源（JS/CSS/图片/iframe/API）必须使用相对协议（//）或绝对 HTTPS URL，浏览器控制台报 “Mixed Content” 即为隐患
持续验证与监控：让安全不流于配置
配置会过期，漏洞会新生，必须建立闭环机制：
- 每月自动扫描全链路 TLS 配置（可用 Mozilla SSL Config Generator、Qualys SSL Labs 工具）
- 证书到期前 30 天触发告警，结合 Certbot 或云平台自动续签能力实现零人工干预
- 日志中统一记录 TLS 版本、协商套件、证书指纹，便于异常行为溯源（例如大量 TLSv1.0 连接突增可能暗示攻击探测）
- 对关键业务接口做端到端 HTTPS 连通性拨测，模拟真实终端（含 iOS/Android/PC 浏览器）验证证书链与重定向逻辑
