TLS 版本与套件检查查什么
加密配置不是「配置了 HTTPS 就没问题」：TLS 1.0/1.1 与导出级套件已被认为不安全，弱套件（如只支持 RC4、CBC 套件优先）会让中间人攻击变得可行。检查要逐个域名执行，因为同一组织里不同系统的配置往往不一致，老系统的加密配置常停留在多年前。除协议与套件外还要看证书链是否完整、是否影响旧客户端兼容。
基本信息
| 核查项 | 协议版本、套件强度、证书链、SNI 行为 |
|---|---|
| 常用工具 | testssl.sh、sslscan、openssl s_client |
| 范围要点 | 按域名逐一核查，含子域与遗留系统 |
| 产出 | 逐域名 TLS 现状矩阵与改造建议 |
| 取舍 | 过时协议是否可接受取决于业务设备兼容要求 |
典型使用场景
- HTTPS 站点加密配置基线核查
- 合规类评估中的加密强度检查项
- 排查证书链不完整导致的旧客户端访问失败
- 云迁移后复核：新环境的加密配置是否延续了原有基线
- 为整改排优先级：区分公网用户站点与仅内部使用的旧接口
快速核查示例
快速核查示例
openssl s_client -connect example.com:443 -tls1_1 </dev/null 2>&1 | grep -i 'alert\|failure'
openssl s_client -connect example.com:443 -tls1_2 </dev/null 2>&1 | grep -i 'Protocol\|Cipher'
# 逐协议探测是否放行过时版本（仅在授权范围内执行）
testssl.sh --protocols --quiet https://example.com # 一次性输出协议与套件现状
# 记录：域名 + 支持的最低协议版本 + 弱套件是否存在 + 证书链完整性结果与判断
| 结果 | 含义 | 处置 |
|---|---|---|
| 放行 TLS 1.0 或 1.1 | 过时协议可协商 | 评估兼容需求后关闭，写明取舍理由 |
| 仅支持弱套件 | 加密强度不足 | 按支持情况收窄到推荐套件 |
| 证书链不完整 | 部分客户端校验失败 | 补齐中间证书 |
| 多证书站点仅测默认 | 结论不覆盖全部站点 | 按域名分别核查，逐个出结论 |
过时协议是否可接受取决于业务设备兼容要求：结论要给出取舍说明与替代方案，而不是一律定为高危。
同一台服务器可能承载多个域名与多张证书：必须按域名逐一核查，只测一个代表域名会漏掉配置不一致的部分。