最安全的设置是将ssl目录放在/etc/nginx/ssl/或/etc/ssl/private/，权限设为700且属主属组均为root，目录必须隔离且不可被web访问，私钥文件权限须同步设为600并属主root。

最安全的设置是把 ssl 目录放在 /etc/nginx/ssl/ 或 /etc/ssl/private/，权限设为 700，属主属组均为 root。

目录位置必须隔离且不可被 Web 访问

不能放在 /var/www/、/usr/share/nginx/html/ 等任何被 root 或 alias 指令映射的路径下。Nginx 默认不会将 /etc/nginx/ssl/ 暴露为 HTTP 资源，这是它比网站根目录更安全的根本原因。

• 验证方式：在浏览器中访问 https://your.site/ssl/private.key，应返回 403 或 404，绝不能返回私钥内容
• 若使用 Certbot，默认路径 /etc/letsencrypt/live/ 也符合隔离要求，但需额外确认其父目录权限

目录权限必须是 700，且属主 root

700 表示仅 owner（root）可读、写、执行；group 和 others 完全无权限。执行权限对目录是必需的（否则无法进入或遍历），但必须严格限制范围。

SSL Certificate Monitor

检查一个或多个域名的 SSL/TLS 证书到期时间、颁发者、协议及 SAN 信息，用于应要求检查证书、监控到期或验证 HTTPS 等场景。

下载

• 设置命令：sudo chmod 700 /etc/nginx/ssl/
• 同步属主：sudo chown root:root /etc/nginx/ssl/
• 避免用 umask 002 创建目录，否则可能生成带 group 可读的默认权限（如 755），构成风险

私钥文件权限要同步收紧到 600

目录安全只是基础，里面的私钥文件本身也必须独立加固：

• 每个 .key 文件都需执行：chmod 600 /etc/nginx/ssl/example.com.key
• 属主同样设为 root:root，确保只有 Nginx 主进程（以 root 启动）能读取
• 禁止使用密码加密私钥——Nginx 无法自动输入，会导致 reload 失败

定期检查与最小化暴露面

安全配置不是一次性的，需要主动维护：

• 快速审计：find /etc/nginx -type d -name "ssl" -o -name "private" -exec ls -ld {} \;
• 排查宽松权限：find /etc/nginx -name "*.key" -perm /037 -ls（匹配其他用户有读/写/执行的文件）
• 私钥绝不能进 Git、CI/CD 构建上下文或共享存储；生产环境应通过密钥管理服务注入