apache部署https需满足苹果ats标准：必须使用tls 1.2+、前向保密加密套件（如ecdhe-rsa-aes128-gcm-sha256）、sha-256+签名证书及2048位rsa/256位ecc密钥，并确保openssl≥1.0.1、mod_ssl启用且禁用弱协议与算法。

apache 部署 https 时要满足苹果 ats（app transport security）的严格标准，核心不是“能用 https”，而是确保整个 tls 握手过程符合 apple 官方定义的安全基线。重点在于协议版本、加密套件、证书签名和密钥强度这四点必须全部达标，缺一不可。

确认基础环境支持 TLS 1.2+

ATS 强制要求服务器协商 TLS 1.2 或更高版本。Apache 自身不决定 TLS 版本，实际由底层 OpenSSL 决定：

• 检查 OpenSSL 版本：openssl version，需 ≥ 1.0.1（推荐 ≥ 1.1.1）
• 确认 Apache 已加载 mod_ssl：httpd -M | grep ssl，输出应含 ssl_module (shared)
• 若使用较老系统（如 CentOS 7 默认 OpenSSL 1.0.2），需升级 OpenSSL 并重新编译或更换 Apache 包，否则即使配置了 TLSv1.2，也可能协商失败

配置 SSL 协议与加密套件

在 <virtualhost></virtualhost> 块中明确限定协议与套件，禁用所有不满足 ATS 的旧选项：

Apache Superset Dashboard and SQL Exploration Skill

Apache Superset 是一个广泛采用的开源 BI 平台，用于 SQL 探索、图表构建和仪表板交付。当代理需要查询仓库数据、组装仪表板或使用成熟的分析界面解释指标而不是临时笔记本代码时，此技能非常有用。

下载

• SSLProtocol all -SSLv2 -SSLv3 -TLSv1 -TLSv1.1（只保留 TLSv1.2，部分环境可加 TLSv1.3）
• SSLCipherSuite ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-RSA-AES256-GCM-SHA384
• SSLHonorCipherOrder on：确保服务器按指定顺序优先选择强套件
• 避免模糊写法如 HIGH:!aNULL，它可能包含不支持前向保密（PFS）的算法，ATS 明确要求 PFS

证书与密钥必须符合 ATS 签名要求

ATS 不接受任意 HTTPS 证书，必须同时满足以下三项：

• 证书由操作系统信任的 CA 签发（如 Let’s Encrypt、DigiCert、Sectigo 等，不包括私有 CA 或自签名）
• 签名哈希算法为 SHA-256 或更强（SHA-384/SHA-512 可用，SHA-1 绝对禁止）
• 私钥强度：RSA ≥ 2048 位，或 ECC ≥ 256 位（推荐 secp256r1 或 secp384r1）
• 验证方式：用 openssl x509 -in your.crt -text -noout 查看 Signature Algorithm 和 Public Key Algorithm 字段

补充关键配置项防止隐性不兼容

某些看似无关的配置会影响 ATS 连接稳定性，尤其在混合代理或重定向场景下：

• SSLStrictSNIVHostCheck on：启用 SNI 校验，避免多域名虚拟主机间证书错配
• Header always set Strict-Transport-Security "max-age=31536000; includeSubDomains; preload"：虽非 ATS 强制，但 Apple 审核团队常参考 HSTS 状态判断服务安全性
• 禁用不安全的响应头：Header always unset Server、Header always set X-Content-Type-Options nosniff
• 若后端是反向代理（如转发到 Node.js/Tomcat），还需额外配置 SSLProxyEngine on 及对应 SSLProxyProtocol 和 SSLProxyCipherSuite，否则代理层可能降级 TLS