要让nginx静态站点在qualys ssl labs获a+，需精准控制协议（仅tlsv1.2/tlsv1.3）、加密套件（ecdhe+aead）、证书链（fullchain.pem）和响应头（hsts preload），并彻底杜绝混合内容。
要让 Nginx 静态站点在 Qualys SSL Labs 上拿到 A+，关键不是堆砌参数，而是精准控制协议、套件、证书链和响应头四个维度。A+ 不是玄学，它有明确的扣分红线——只要避开所有已知漏洞项、启用 HSTS Preload 并确保无混合内容，达标路径就很清晰。
禁用全部老旧协议与弱算法
Qualys 对 TLS 1.0/1.1 和 RC4、3DES、MD5、SHA1 等零容忍。静态站点无需兼容 IE8 或 Android 4.4 以下设备，可彻底精简：
- 强制仅启用 TLSv1.2 和 TLSv1.3：ssl_protocols TLSv1.2 TLSv1.3;
- 加密套件只保留 ECDHE 开头的 AEAD 套件（AES-GCM / ChaCha20-Poly1305）：ssl_ciphers 'ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305';
- 关闭服务器优先套件（TLS 1.3 要求必须为 off）：ssl_prefer_server_ciphers off;
- 不配置
ssl_dhparam—— ECDHE 已提供前向保密，DH 参数反而可能引入弱参数风险；如确需 DHE，用 2048 位以上并单独验证
证书链与密钥必须合规
Let’s Encrypt 的 fullchain.pem 默认含完整链，但常被误配成仅 cert.pem，导致“证书链不完整”直接扣分：
-
ssl_certificate 必须指向包含根 + 中间证书的 fullchain 文件（如
/etc/letsencrypt/live/example.com/fullchain.pem） -
ssl_certificate_key 指向私钥（
privkey.pem），确保权限为600且属主为 nginx 运行用户 - 证书有效期 ≤ 398 天（CA/B 论坛强制），Let’s Encrypt 默认 90 天，配合自动续期即可满足
- 避免使用 SHA-1 签名证书（已淘汰），Certbot 默认签发 SHA-256
启用 HSTS 并申请 Preload
A+ 要求必须启用 HSTS，且若想稳定保持 A+（尤其防缓存降级），建议走 Preload 列表：
- 添加严格头：add_header Strict-Transport-Security "max-age=31536000; includeSubDomains; preload" always;
- 注意：首次启用时先设
max-age=300测试 5 分钟无异常，再逐步拉长；Preload 提交后不可撤回，务必确认全站子域均支持 HTTPS - 提交地址：https://www.php.cn/link/b9fcbc854cc45e5802618e283d3fe525，审核通常 1–2 周
杜绝混合内容与响应干扰
Qualys 会扫描页面实际加载资源。哪怕 Nginx 配置满分，前端引用 HTTP 链接也会导致评级掉至 B 或更低：
- 全站资源（CSS/JS/图片/字体/iframe）必须用 HTTPS 协议或协议相对路径（
//example.com/style.css） - 检查响应头是否意外注入不安全字段（如过时的
X-Frame-Options: DENY可能与现代 CSP 冲突，非必需） - 禁用不必要模块（如未用 WebSockets 就别配
Upgrade头），减少攻击面 - 测试前用浏览器开发者工具 → Network 标签页筛选 “Mixed Content”，逐个修复
配置完成后，运行 sudo nginx -t && sudo systemctl reload nginx，等待 DNS 和 CDN 缓存刷新（约 5–15 分钟），再访问 SSL Labs 提交检测。一次通过率取决于是否漏掉 HSTS Preload 或混合内容——这两项占 A+ 失败原因的 70% 以上。
