apache高安全评级报错主因是tls协议过旧、加密套件弱、证书链不全或dh参数不足，需禁用tls 1.0/1.1、启用tls 1.2+、精简强套件、合并域名与中间证书、使用2048位以上dh参数并添加安全响应头。

高安全评级报错（如 myssl 评分为 b 或更低、ats 不合规、pci dss 检测失败）在 apache 中几乎从不因证书本身出错，而是由 tls 协议启用范围、加密套件强度、密钥交换参数或证书链完整性等配置缺陷导致。核心思路是：禁用老旧协议、淘汰弱算法、收紧协商策略、补全信任链。

禁用 TLS 1.0 / TLS 1.1 及所有 SSL 版本

现代浏览器（尤其 iOS/Safari）和 Apple ATS 强制要求 TLS 1.2+；保留 TLS 1.0/1.1 会直接拉低评级甚至阻断访问。

• 在 <virtualhost></virtualhost> 或全局 SSL 配置块中，明确指定协议版本：
• SSLProtocol all -SSLv2 -SSLv3 -TLSv1 -TLSv1.1 +TLSv1.2 +TLSv1.3
• 注意：all 开头再逐项排除，比只写 +TLSv1.2 更可靠，避免遗漏隐式启用的旧协议
• 若 Apache 版本 TLSv1.3 不可用，仅保留 +TLSv1.2

精简并加固加密套件（Cipher Suite）

RC4、3DES、MD5、aNULL、eNULL、EXP、LOW、MEDIUM 等套件已被主流标准弃用；MySSL 或 Qualys SSL Labs 会直接标红。

Apache Superset Dashboard and SQL Exploration Skill

Apache Superset 是一个广泛采用的开源 BI 平台，用于 SQL 探索、图表构建和仪表板交付。当代理需要查询仓库数据、组装仪表板或使用成熟的分析界面解释指标而不是临时笔记本代码时，此技能非常有用。

下载

• 推荐配置（兼顾兼容性与高分）：
• SSLCipherSuite ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-AES256-GCM-SHA384
• 必须添加：SSLHonorCipherOrder on —— 强制服务器按你定义的顺序优先选择最强套件，否则客户端可能协商出排在后面的弱算法
• 避免使用模糊表达如 HIGH 或 !aNULL，它们无法精准控制现代套件筛选

补齐证书链并验证 DH 参数强度

证书链缺失是 PC 正常、手机报错的最常见原因；DH 密钥交换参数过短（如

• 确保配置了完整证书链：SSLCertificateChainFile 指向中间证书（PEM 格式），或更优做法：将域名证书 + 中间证书合并进 SSLCertificateFile（根证书无需放入）
• 检查 DH 参数：Apache 默认使用系统内置 DH 参数，可能过时。建议生成强参数并显式加载：
• sudo openssl dhparam -out /etc/ssl/private/dh2048.pem 2048
• 然后在配置中加入：SSLOptions +StrictRequire 和 SSLDHParametersFile /etc/ssl/private/dh2048.pem

补充关键安全响应头与隐藏信息

虽不直接影响 TLS 评级，但缺失这些会拉低整体安全分（如 Mozilla Observatory、SecurityHeaders.io）：

• Header always set Strict-Transport-Security "max-age=31536000; includeSubDomains; preload"
• Header always set X-Content-Type-Options "nosniff"
• Header always set X-Frame-Options "DENY"
• ServerSignature Off 和 ServerTokens Prod —— 隐藏 Apache 版本号