qoderwake通信安全需五步保障：一、强制启用tls 1.3并精简加密套件；二、部署sm2+rsa双证书体系；三、启用ocsp stapling优化校验；四、配置90天内自动化证书轮转；五、启用mtls双向认证。
☞☞☞AI 智能聊天, 问答助手, AI 智能搜索, 多模态理解力帮你轻松跨越从0到1的创作门槛☜☜☜
如果您在使用QoderWake数字员工过程中发现通信数据未加密或存在中间人攻击风险，则可能是由于SSL证书未正确配置或已过期。以下是保障QoderWake通信环节安全的步骤：
一、配置QoderWake服务端TLS 1.3强制启用
启用TLS 1.3可确保QoderWake与客户端之间建立强加密通道，禁用弱算法并实现前向保密，防止历史通信被私钥泄露后解密。该配置直接影响数字程序员诊断报告、修复代码等敏感内容的传输安全性。
1、登录QoderWake管理控制台，进入「安全设置」→「传输层加密」模块。
2、将协议版本下拉菜单选择为仅启用TLS 1.3，取消勾选TLS 1.0、TLS 1.1及TLS 1.2选项。
3、在加密套件列表中，手动移除所有含RC4、SHA-1、3DES的条目，仅保留AES-GCM、CHACHA20-POLY1305等NIST认证强套件。
4、点击「保存并热重载配置」，系统将自动重启HTTPS监听服务且不中断现有Agent会话。
二、部署双证书体系支持国密SM2+RSA混合验证
针对政务、金融等高合规场景，QoderWake需同时支持国际RSA标准与国产SM2算法，确保数字员工在对接国密SSL网关或信创环境时仍能完成双向身份认证和密钥协商。
1、准备两套有效证书：一套由CFCA或BJCA签发的SM2证书（含SM2私钥），另一套由DigiCert或Sectigo签发的RSA证书（含RSA私钥）。
2、在QoderWake服务器的/etc/qoderwake/certs/目录下分别存放：sm2_cert.pem + sm2_key.pem 与 rsa_cert.pem + rsa_key.pem。
3、编辑qoderwake.yaml配置文件，在tls节点下添加dual_cert_mode: true，并指定sm2_cert_path与rsa_cert_path路径。
4、执行qoderctl tls reload命令触发双证书加载，验证日志中出现“SM2 handshake enabled”与“RSA fallback ready”字样即表示成功。
三、启用OCSP Stapling优化证书状态校验
OCSP Stapling可避免QoderWake客户端在每次握手时直连CA服务器查询证书吊销状态，既提升连接速度，又防止因CA服务不可达导致的TLS握手失败，保障数字员工持续在线执行任务。
1、确认QoderWake所用OpenSSL版本不低于1.1.1k，且已编译支持OCSP功能。
2、在Nginx或OpenResty反向代理层（若QoderWake前置有代理）配置中添加：ssl_stapling on; ssl_stapling_verify on; ssl_trusted_certificate指向包含根CA与中间CA的完整证书链文件。
3、执行openssl s_client -connect your-qoderwake-domain.com:443 -status命令，检查响应头中是否返回OCSP Response Status: successful (0x0)。
4、在QoderWake管理后台「连接健康度」面板中，确认所有Agent节点的TLS握手平均耗时下降至≤120ms。
四、配置自动化证书轮转策略
鉴于CA/B论坛已将SSL证书最长有效期缩短至90天，手动更新将导致QoderWake数字员工通信中断。自动化轮转机制可确保证书在到期前72小时完成续签与热加载，维持无人值守运行稳定性。
1、在QoderWake服务器上安装certbot并配置acme.sh脚本，绑定企业邮箱与域名DNS API密钥。
2、创建定时任务：每6小时执行一次certbot renew --deploy-hook "/usr/bin/qoderctl tls reload"。
3、在QoderWake配置中启用auto_cert_refresh: true，并设置refresh_window_hours: 72。
4、验证最近一次轮转日志，确认输出包含[CERT-ROTATE] Successfully reloaded SM2+RSA certs for qoderwake-api.qoder.com。
五、启用mTLS双向证书认证
为防止非授权终端接入QoderWake服务端，需强制客户端（如Qoder移动端、Qoder CLI）提供有效客户端证书，实现设备级身份绑定，杜绝伪造数字员工实例发起恶意请求。
1、使用QoderWake内置CA工具生成专用客户端CA证书：qoderctl ca init --name qoder-client-ca。
2、为每个授权终端颁发唯一客户端证书：qoderctl ca issue --ca qoder-client-ca --cn "mobile-app-v2.3" --days 180。
3、在QoderWake服务端配置中开启client_auth: require，并指定client_ca_cert_path指向qoder-client-ca.crt。
4、在Qoder移动端设置页中导入对应.p12证书包，启动时验证提示Device identity verified via mTLS即表示认证成功。
