| 推荐列表 | ECDHE-ECDSA/RSA + AES-GCM 或 ChaCha20-Poly1305 |
|---|---|
| 禁用 | RC4、3DES、DES、EXPORT、aNULL、静态 RSA（如可） |
| 顺序 | 由服务端偏好决定时把 ChaCha20/AES-GCM 放在前面 |
| 验证 | openssl ciphers -v 与在线扫描工具核对 |
nginx 配置片段
nginx 配置片段
ssl_ciphers ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305;
ssl_prefer_server_ciphers on;套件列表一旦包含 CBC，部分扫描工具会提示 Lucky13/POODLE 类历史风险；新部署建议完全移除。