TLS 评级结果解读
SSL Labs、testssl.sh、sslyze 等工具依据协议版本、套件强度、证书配置与 HSTS 等要素给出评级。评级是配置线索，不是目标：解读时应聚焦报告里指出的具体问题并逐项修复，而不是为了分数堆叠特性。评分并不覆盖私钥保护、证书轮换流程与业务逻辑安全，而这些恰恰是更常见的风险来源。
基本信息
| 常见扣分项 | 支持 TLS 1.0 与 1.1、启用 CBC 套件、链问题、缺少 HSTS |
|---|---|
| 无法扫描的情况 | 内网域名或无公网解析时工具无法探测 |
| 定位方式 | 按报告条目逐项修复，而不是为分数堆叠特性 |
| 覆盖范围 | 不评估私钥保护、轮换流程与应用逻辑 |
| 结果差异 | 公共扫描节点路径与真实用户不同，结果仅供参考 |
典型使用场景
- 对外服务的安全基线检查与整改
- 上线前的配置回归验证
- 内网服务无法使用公共扫描时改用本地工具
- 向管理层解释「评级 A 不等于没有风险」
- 结合抓包核对报告中的链与套件问题
本地扫描示例
本地扫描示例
testssl.sh --fast example.com # 快速扫描
testssl.sh --severity HIGH example.com # 只看高危项
sslyze --regular example.com:443 # 结构化结果
# 内网服务可用本地工具直接扫描，无需公网可达评分要素与修复
| 要素 | 常见问题 | 修复方向 |
|---|---|---|
| 协议版本 | 仍支持 TLS 1.0 与 1.1 | 收敛到 1.2 及以上 |
| 套件强度 | 存在 CBC 或更弱套件 | 白名单只保留 AEAD 组合 |
| 证书链 | 链不完整或顺序错误 | 部署 fullchain 并逐节点校验 |
| HSTS | 未下发或未在预加载列表中 | 按业务需要下发并逐步加长有效期 |
公共扫描服务的探测节点与真实用户路径不同，结果用于参考；扫描通过不代表安全达标。评级工具不会检查私钥存放位置、备份策略与轮换机制，这些需要单独评审，往往比套件配置更影响实际风险。
使用建议：把扫描结果与变更记录关联起来，每次配置调整后重新扫描并对比差异，比单次追求高分更有价值；对内网服务，可用本地工具定期扫描并纳入基线检查。