QoderWake启用HTTPS有五种配置方法：一、Nginx反向代理TLS终止；二、服务端直连TLS；三、OCSP Stapling优化；四、SM2+RSA双证书国密合规；五、TLS 1.3强制启用与强加密套件精简。
☞☞☞AI 智能聊天, 问答助手, AI 智能搜索, 多模态理解力帮你轻松跨越从0到1的创作门槛☜☜☜
如果您在HTTPS环境下访问QoderWake提供的API接口，但客户端提示证书不可信、连接被拒绝或出现SSL handshake failed错误，则可能是由于服务端未正确配置SSL证书、证书链不完整或协议版本不兼容所致。以下是为QoderWake启用HTTPS接口访问的多种SSL配置方法：
一、通过Nginx反向代理启用TLS终止
该方法将SSL/TLS解密操作卸载至Nginx层，QoderWake后端仍以HTTP方式运行，降低服务改造复杂度，同时获得浏览器级信任链和自动证书续期能力。
1、确保QoderWake已部署并可通过http://127.0.0.1:8080正常访问。
2、安装Nginx与certbot：sudo apt update && sudo apt install nginx python3-certbot-nginx（Ubuntu/Debian）。
3、配置Nginx站点文件，将server_name替换为您的已备案域名，例如qoderwake-api.example.com。
4、执行sudo certbot --nginx -d qoderwake-api.example.com，按提示完成域名所有权验证及证书自动部署。
5、确认Nginx配置中包含proxy_pass http://127.0.0.1:8080;，且所有location块均启用proxy_set_header传递原始协议头与主机头。
6、重启Nginx：sudo systemctl restart nginx，随后访问https://qoderwake-api.example.com/v1/status验证HTTPS响应状态码为200。
二、在QoderWake服务端直连启用TLS
该方法使QoderWake自身直接处理TLS握手与加解密，适用于无法部署反向代理或需端到端加密审计的场景，要求服务支持自定义SSL上下文配置。
1、生成TLS证书对：openssl req -x509 -newkey rsa:4096 -nodes -out fullchain.pem -keyout privkey.pem -days 365。
2、将fullchain.pem与privkey.pem放置于QoderWake可读路径，如/etc/qoderwake/tls/。
3、修改QoderWake启动参数或配置文件，启用HTTPS模式，并指定证书路径：--https-enabled true --cert-file /etc/qoderwake/tls/fullchain.pem --key-file /etc/qoderwake/tls/privkey.pem --https-port 443。
4、确保防火墙放行443端口：sudo ufw allow 443。
5、重启QoderWake服务，使用curl -I https://qoderwake-api.example.com检查响应头中是否含HTTP/2及strict-transport-security安全头字段。
三、启用OCSP Stapling优化证书状态校验
该方法避免客户端在每次TLS握手时直连CA服务器查询证书吊销状态，既提升连接速度，又防止因CA服务不可达导致的TLS握手失败，保障API调用连续性。
1、确认QoderWake所用OpenSSL版本不低于1.1.1k，且已编译支持OCSP功能。
2、在Nginx配置中添加ocsp_stapling on;与ocsp_stapling_verify on;指令，并配置ssl_trusted_certificate指向完整证书链文件。
3、执行sudo nginx -t验证配置语法，确认无误后重载：sudo nginx -s reload。
4、使用openssl s_client -connect qoderwake-api.example.com:443 -status命令，检查输出中是否出现OCSP response: successful字样。
四、部署SM2+RSA双证书体系支持国密合规
该方法满足政务、金融等高合规场景对国产密码算法的强制要求，在同一HTTPS端口同时提供SM2与RSA证书协商能力，确保数字员工对接信创环境时的身份互认。
1、准备两套有效证书：一套由CFCA签发的SM2证书（含SM2私钥），另一套由Sectigo签发的RSA证书（含RSA私钥）。
2、在QoderWake服务器的/etc/qoderwake/certs/目录下分别存放：sm2_cert.pem + sm2_key.pem与rsa_cert.pem + rsa_key.pem。
3、编辑qoderwake.yaml配置文件，在tls节点下添加dual_cert_mode: true，并指定sm2_cert_path与rsa_cert_path路径。
4、执行qoderctl tls reload命令触发双证书加载，验证日志中出现"SM2 handshake enabled"与"RSA fallback ready"字样即表示成功。
五、配置TLS 1.3强制启用与强加密套件精简
该方法禁用TLS 1.0–1.2全部旧协议，仅保留TLS 1.3，并移除含SHA-1、RC4、3DES等弱算法的加密套件，实现前向保密与抗降级攻击能力。
1、登录QoderWake管理控制台，进入「安全设置」→「传输层加密」模块。
2、将协议版本下拉菜单选择为仅启用TLS 1.3，取消勾选TLS 1.0、TLS 1.1及TLS 1.2选项。
3、在加密套件列表中，手动移除所有含RC4、SHA-1、3DES的条目，仅保留AES-GCM、CHACHA20-POLY1305等NIST认证强套件。
4、点击「保存并热重载配置」，系统将自动重启HTTPS监听服务且不中断现有API调用会话。
