apache满足等保三级https合规须禁用sslv3、tls1.0/1.1，强制启用tls1.2+，配置pfs/aead密码套件并开启hsts、证书链校验与http强制跳转。

要满足等保三级合规要求，Apache必须禁用SSLv3、TLS 1.0和TLS 1.1，并启用TLS 1.2及以上版本。仅调整加密套件不够，协议层关闭是硬性前提。

明确禁用不安全协议版本

SSLv3存在POODLE漏洞（CVE-2014-3566），TLS 1.0/1.1存在BEAST、CRIME、FREAK等高危风险，等保三级明确要求停用。配置需写在ssl.conf或虚拟主机的SSL段中：

• 推荐写法（清晰、可维护）：SSLProtocol -ALL +TLSv1.2 +TLSv1.3
• 若暂不支持TLS 1.3（如OpenSSL SSLProtocol -ALL +TLSv1.2
• 避免使用all -SSLv2 -SSLv3 -TLSv1 -TLSv1.1这类易漏配的写法，-ALL更彻底

同步限制弱密码套件

协议禁用只是第一步。等保要求同时禁用RC4、DES、3DES、MD5、SHA1、CBC模式等算法。必须配合SSLCipherSuite与SSLHonorCipherOrder：

Apache Superset Dashboard and SQL Exploration Skill

Apache Superset 是一个广泛采用的开源 BI 平台，用于 SQL 探索、图表构建和仪表板交付。当代理需要查询仓库数据、组装仪表板或使用成熟的分析界面解释指标而不是临时笔记本代码时，此技能非常有用。

下载

• 设置强套件（含PFS和AEAD）：SSLCipherSuite ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305
• 强制服务端优先级：SSLHonorCipherOrder on（防止客户端降级）
• 禁用TLS压缩（防CRIME攻击）：SSLCompression off

确认底层支持并验证生效

Apache本身不实现密码学，实际能力取决于OpenSSL版本：

• 运行openssl version -a，确保≥1.1.1（否则TLS 1.3和CHACHA20等套件无效）
• 用openssl ciphers -s -V 'ECDHE-RSA-AES128-GCM-SHA256'验证套件是否被识别
• 配置后执行apachectl configtest语法检查，再systemctl reload httpd
• 用https://ssllabs.com/ssltest或https://myssl.com扫描，确认协议显示仅TLS 1.2/1.3，评级达A或A+，且标注“PCI DSS / 等保三级 合规”

补充加固项（等保三级必需）

除协议与套件外，等保还要求配套措施：

• 证书须为RSA 2048位以上或ECDSA，且包含完整信任链
• HTTP响应头添加Strict-Transport-Security "max-age=31536000; includeSubDomains; preload"
• 所有HTTP请求强制301重定向至HTTPS
• 开启SSL日志（SSLLogLevel info）并纳入统一审计