强制启用TLS 1.2/1.3并禁用SSLv3及TLS 1.0/1.1，优先配置ECDHE+AES-GCM套件，启用HSTS与mTLS双向认证，全程加密身份凭证并定期验证策略有效性。

直接在传输层和应用层落实加密与认证，是阻断窃听、篡改和冒充最有效的手段。核心不是堆砌技术，而是让每个连接都具备可验证身份+不可读内容这两个基本能力。

强制启用TLS并淘汰老旧协议

所有对外提供服务的端口（如Web、API、邮件、数据库管理）必须使用TLS加密，且禁用已知不安全的版本和算法。

• 只启用TLS 1.2及以上版本，明确禁用SSLv3、TLS 1.0/1.1
• 优先选用ECDHE密钥交换+AES-GCM加密套件，避免RSA密钥交换和CBC模式
• Web服务配置HTTP严格传输安全（HSTS）头，防止降级攻击
• 邮件服务SMTP/IMAP/POP3全部启用STARTTLS，并配置证书校验机制

服务间通信必须双向认证

微服务、后台系统、数据库连接等内部调用，不能依赖网络隔离，默认按“不可信网络”处理。

• 使用mTLS（双向TLS）：客户端和服务端均需提供有效证书，服务器验证客户端证书
• 证书由私有CA签发，生命周期可控；禁止使用自签名证书或公网CA泛域名证书
• API网关或服务网格（如Istio）统一注入mTLS策略，避免各服务重复实现
• 数据库连接启用SSL/TLS，并配置require_ssl=true或sslmode=require

身份凭证全程加密保护

认证凭据本身不能以明文形式出现在传输链路中，包括密码、Token、密钥等。

• 登录环节禁用HTTP Basic Auth，改用OAuth 2.1或OpenID Connect流程，Token通过HTTPS传输
• JWT等令牌必须签名（HS256或RS256），敏感字段（如用户ID、角色）不存于payload明文
• API密钥、访问令牌一律通过Authorization头传递，禁止拼入URL或表单参数
• 临时凭证（如预签名URL、短期STS Token）设置合理过期时间（建议≤1小时）

验证与加固关键环节

配置正确不等于防护到位，必须通过主动验证确认策略真实生效。

• 用openssl s_client -connect domain:443 -servername domain测试TLS握手与证书链
• 用curl -I https://domain --insecure检查是否强制跳转HTTPS及HSTS头是否返回
• 抓包验证敏感接口响应体是否加密（如JSON数据是否仍为明文）
• 模拟未携带证书的请求访问mTLS接口，确认返回401或403而非500