| TLS 1.3 | Chrome 70+、Firefox 63+、Safari 12.1+；OpenSSL 1.1.1+、Java 11+、Go 1.13+ 默认支持 |
|---|---|
| TLS 1.2 | 仍被广泛支持，是存量系统的实际底线 |
| TLS 1.0/1.1 | 已被主流浏览器与合规要求放弃，应尽快关闭 |
| 决策依据 | 统计服务端日志中的版本与套件占比，再定关闭顺序 |
探测服务端支持的版本
探测服务端支持的版本
for v in tls1_2 tls1_3; do echo "== $v"; openssl s_client -connect example.com:443 -$v </dev/null 2>&1 | grep -E 'Protocol|Cipher'; done
nmap --script ssl-enum-ciphers -p 443 example.com只支持旧版本的长尾设备（打印机、工控网关）可单独隔离或加代理，而不是为主站整体降级。