SSL Labs SSL Server Test是最常用权威验证方式，通过模拟真实TLS握手，从协议支持、密钥交换、加密套件等维度评分并给出A+至F评级及具体改进建议。
直接用 SSL Labs 的 SSL Server Test（ssllabs.com/ssltest）是最常用、最权威的验证方式。它会模拟真实客户端与你的域名进行完整 TLS 握手，从协议支持、密钥交换、加密套件、证书链、HSTS 等多个维度打分，并给出 A+ 到 F 的评级和详细改进建议。
快速验证操作步骤
打开浏览器访问 https://www.ssllabs.com/ssltest/，在输入框中填入你的生产域名（如 example.com），点击 Submit。注意：必须是带 DNS 解析、可公网访问、且 443 端口开放的正式域名，不能是 IP 或本地地址。
- 整个扫描通常需 1–3 分钟，结果页顶部显示最终评级（如 A+）及得分
- 向下滚动可查看“Handshake Simulation”表格——它列出不同客户端（Chrome、Firefox、iOS、Java 等）是否能成功建连，帮你发现兼容性隐患
- “Configuration”部分会标出具体问题，比如“TLS 1.0 enabled”“Weak key exchange detected”或“Missing HSTS header”，对应你配置中的漏洞点
命令行辅助验证（运维常用）
适合 CI/CD 自动化或批量检查，不依赖网页：
- 查协议与套件支持：
nmap --script ssl-enum-ciphers -p 443 example.com，输出中只应出现 TLSv1.2 和 TLSv1.3，且无RC4、3DES、NULL、MD5等弱算法 - 查证书链完整性：
openssl s_client -connect example.com:443 -servername example.com 2>/dev/null | openssl x509 -noout -text，确认 Subject、Issuer、Valid To 正确，且有完整中间证书 - 查 HSTS 头是否生效：
curl -I https://example.com | grep -i strict-transport-security，应返回类似strict-transport-security: max-age=31536000; includeSubDomains; preload
等保测评专用验证要点
等保三级系统要求更严格，除评级外还需人工核对以下项是否全部满足：
- TLS 协议仅启用
TLSv1.2和TLSv1.3，禁用TLSv1.0、TLSv1.1及所有 SSL 版本 - 密钥交换必须具备前向安全性（即使用
ECDHE或DHE），且 DHE 参数 ≥ 2048 位，ECDHE 曲线为X25519、secp384r1或secp521r1 - 加密套件中不含
RC4、DES、3DES、EXPORT、NULL、MD5；优先使用TLS_AES_256_GCM_SHA384等 TLS 1.3 套件 - HTTP 强制跳转 HTTPS 已配置，且响应头含有效 HSTS
为什么不能只看评级？
A+ 评级说明基础配置合格，但等保测评还会检查日志记录、证书管理流程、私钥权限（如是否 600）、OCSP Stapling 是否启用等非评分项。例如：SSL Labs 不检测 ssl_certificate_key 文件权限，但等保要求私钥必须由 root 拥有且不可被组/其他用户读取。所以评级是起点，不是终点。
