apache https满足pci dss标准需禁用sslv2/v3、tls1.0/1.1，启用tls1.2+，配置强密码套件并开启sslhonorcipherorder，添加hsts头，确保证书链完整且密钥≥2048位。

要让 Apache 的 HTTPS 服务满足 PCI DSS 标准，核心是禁用不安全协议、启用强加密套件、强制服务器密码偏好，并确保证书可信有效。这不是简单开启 SSL，而是系统性加固。

禁用 TLS 1.0 及更早协议

PCI DSS 明确要求禁用 TLS 1.0、SSLv2 和 SSLv3（自 2018 年 6 月 30 日起生效）。这些协议存在已知高危漏洞（如 POODLE、BEAST），无法通过补丁修复。

• 在 Apache 配置文件（如 ssl.conf 或站点虚拟主机配置中）找到 SSLProtocol 指令
• 将其设为：
  SSLProtocol all -SSLv2 -SSLv3 -TLSv1
• 若使用较新版本（Apache ≥ 2.4.37），推荐显式启用安全版本：
  SSLProtocol TLSv1.1 TLSv1.2 TLSv1.3（注意：TLSv1.3 需 OpenSSL 1.1.1+ 和 Apache ≥ 2.4.37）

配置强密码套件并启用 SSLHonorCipherOrder

仅定义强密码不够——客户端可能仍协商出弱密码。必须启用 SSLHonorCipherOrder on，才能真正落实服务器的加密偏好，这是 PCI DSS 和等保的硬性要求。

Apache Superset Dashboard and SQL Exploration Skill

Apache Superset 是一个广泛采用的开源 BI 平台，用于 SQL 探索、图表构建和仪表板交付。当代理需要查询仓库数据、组装仪表板或使用成熟的分析界面解释指标而不是临时笔记本代码时，此技能非常有用。

下载

• 添加或修改指令：
  SSLHonorCipherOrder on
• 配合使用严格密码套件，例如：
  SSLCipherSuite ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384
• 避免包含 RC4、MD5、DES、EXPORT、NULL 或 anon 等关键词的套件

启用 HSTS 并校验证书链完整性

HSTS（HTTP Strict Transport Security）防止降级攻击，是 PCI DSS 推荐实践；而证书链缺失或过期会直接导致合规检测失败。

• 添加响应头强制 HTTPS：
  Header always set Strict-Transport-Security "max-age=31536000; includeSubDomains; preload"（需加载 headers_module）
• 使用 MySSL 或 SSL Labs 扫描证书链，确认根证书和中间证书完整、未过期、域名匹配
• 确保证书密钥长度 ≥ 2048 位（推荐 RSA 3072 或 ECDSA P-256）

其他关键加固项

部分细节虽不直接写入 PCI DSS 条款，但被主流合规扫描工具（如 MySSL、Qualys SSL Labs）纳入判定，影响最终“PCI DSS 合规”标识。

• 禁用不安全重协商：SSLInsecureRenegotiation off
• 关闭服务器签名泄露：ServerSignature Off 和 ServerTokens Prod
• 启用 OCSP Stapling 提升证书状态验证效率与隐私：
  SSLUseStapling on、SSLStaplingCache shmcb:/var/run/ocsp(128000)