等保三级https通用模板需满足协议、密钥交换、加密算法、证书链、http头、日志六维合规：禁用sslv2-v3/tls1.0-1.1，仅启tls1.2+；密码套件全为ecdhe/dhe+aes-gcm/chacha20-poly1305；证书须国认可ca签发、rsa2048+/ecdsa256位、sha-256+签名、含完整链；强制hsts、x-content-type-options、x-frame-options、301跳转；日志留存≥180天并记录ssl协议与套件。
构建满足等保三级合规标准的高性能HTTPS通用模板，关键不在堆砌功能，而在于精准对齐“通信传输”与“安全计算环境”两大条款的技术落点——协议版本、密钥交换机制、加密算法强度、证书可信链、HTTP头防护、日志可审计性，五者缺一不可。
协议与密码套件：必须禁用弱协议，强制启用PFS+AEAD
等保三级明确禁止SSLv2/v3、TLS 1.0/1.1；仅启用TLS 1.2及以上是底线，TLS 1.3应默认开启（其套件由协议自动协商，不写入ssl_ciphers）。
- Apache/Nginx中配置：
SSLProtocol all -SSLv2 -SSLv3 -TLSv1 -TLSv1.1 +TLSv1.2 +TLSv1.3 - 密码套件须全部基于ECDHE或DHE，确保前向保密（PFS）；加密部分仅允许AES-GCM或CHACHA20-POLY1305（AEAD类）
- 推荐组合（兼顾兼容性与合规）：
ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305 - 必须启用服务端密码套件优先级：
SSLHonorCipherOrder on
证书与密钥：强算法、全链路、可信签发
证书必须由国家认可CA签发，私钥强度不低于RSA 2048位或ECDSA 256位；签名算法必须为SHA-256及以上，严禁SHA-1。
- 部署时使用
fullchain.pem（含服务器证书+全部中间CA），而非单证书文件，避免链不全导致浏览器信任失败 - Apache示例：
SSLCertificateFile /path/to/fullchain.pem<br>SSLCertificateKeyFile /path/to/privkey.pem
- 如需双向认证（mTLS），额外配置：
SSLVerifyClient require<br>SSLCACertificateFile /path/to/trusted-ca-bundle.crt<br>SSLVerifyDepth 2
HTTP头与重定向：防降级、防泄露、强约束
等保三级要求防范中间人攻击与敏感信息暴露，需通过响应头主动控制客户端行为。
- 启用HSTS（防降级）：
Header always set Strict-Transport-Security "max-age=31536000; includeSubDomains; preload" - 禁用内容类型嗅探：
Header always set X-Content-Type-Options "nosniff" - 限制页面嵌套：
Header always set X-Frame-Options "DENY"或"SAMEORIGIN" - 启用CSP基础策略（按业务细化）：
Header always set Content-Security-Policy "default-src 'self'; script-src 'self' 'unsafe-inline' 'unsafe-eval'; img-src 'self' data:" - 所有HTTP请求强制301跳转HTTPS：
Redirect permanent / https://yourdomain.com/
审计与可观测性：日志完整、留存合规、可追溯
等保三级要求访问日志留存不少于180天，并能关联源IP、时间、请求路径、响应状态、用户代理等关键字段。
- Apache建议启用
mod_ssl扩展日志，记录TLS协议版本与加密套件：LogFormat "%h %l %u %t \"%r\" %>s %b \"%{Referer}i\" \"%{User-Agent}i\" %{SSL_PROTOCOL}x %{SSL_CIPHER}x" combined-ssl - 确保日志包含客户端证书信息（若启用mTLS）：
%{SSL_CLIENT_S_DN}x %{SSL_CLIENT_I_DN}x - 日志文件需集中采集、防篡改存储，建议对接SIEM或云审计服务，满足“安全审计”条款
