04 · 建立 HTTPS 与 TLS 1.3 安全基线

保存变更前证据

curl -sS -I http://www.example.com/
curl -sS -I https://www.example.com/

记录状态码、Location、证书覆盖的主机名和当前重定向链。首页、登录入口和一个静态资源都要测试，避免只验证被缓存的单一路径。

开启 Always Use HTTPS

在 SSL/TLS → Edge Certificates 开启 Always Use HTTPS。它对 Zone 内的主机名统一生效。若源站也负责跳转，保留一处清晰的规范化逻辑，避免 HTTP/HTTPS 或 www/apex 规则互相追逐。

curl -sS -I http://www.example.com/

成功标准是有限次数内到达预期的 https:// URL。Always Use HTTPS 不会改写页面内部的 HTTP 资源；混合内容应修改应用输出，必要时再评估 Automatic HTTPS Rewrites。

审计最低 TLS 版本

最低 TLS 版本是“允许连接的下限”，不是“强制每个人使用 TLS 1.3”。对现代公共网站，可在日志与客户端清单确认后考虑 TLS 1.2；老旧设备、嵌入式客户端或遗留 API 必须先在测试主机名验证。Zone 级设置适用于所有主机名；按主机名单独设置需要 Advanced Certificate Manager。

curl -sS -I --tls-max 1.1 https://www.example.com/

若最低版本已设为 TLS 1.2，这个旧协议测试应无法完成握手。不要只根据自己的新浏览器判断兼容性。

开启 TLS 1.3 并验证

在 SSL/TLS → Edge Certificates 开启 TLS 1.3。该能力适用于整个 Zone，当前所有套餐可用，且不能单独选择 TLS 1.3 的密码套件。

openssl s_client -connect www.example.com:443 \
  -servername www.example.com -tls1_3 </dev/null

检查输出中的协商协议与证书主机名。命令依赖本机 OpenSSL 支持 TLS 1.3；不支持时使用浏览器 Security 面板交叉验证。

最后分阶段开启 HSTS

先确认所有计划覆盖的子域名都能长期提供有效 HTTPS，再在 SSL/TLS → Edge Certificates → HTTP Strict Transport Security (HSTS) 使用较短 Max-Age 试运行。观察证书续期、旧主机和第三方服务后再逐步延长。

includeSubDomains 会把承诺扩展到所有子域名；preload 还会把策略纳入浏览器预置列表，撤回不即时生效。只有在整个域名树已满足要求并能长期维持时才选择它们。