摘要：网站启用HTTPS，不代表TLS配置已经合适。自检可以分为协议版本、加密套件和证书链三个部分，并确认检查对象是用户实际访问的入口。配置调整前应评估客户端兼容性，调整后同时验证安全状态与业务访问，避免只追求检测分数而影响服务。
浏览器没有报错，服务器检测却提示配置需要调整，两种结果并不矛盾。浏览器通常是在判断这次连接能否被接受，配置自检还会观察服务器是否保留了不必要的旧协议或较弱选项。
开始检查前，先写下目标主机名、端口和TLS 终止位置。网站接入 CDN 后，公网扫描多半看到边缘服务；源站使用什么协议、负载均衡后面的内部连接是否正常，需要另外验证。只检测一个入口，很容易把结果误认为覆盖了整套系统。
第一步 核对实际开放的协议版本
面向现代浏览器的网站，应围绕TLS 1.2 和 TLS 1.3 进行配置与兼容性验证。SSL 旧协议以及 TLS 1.0、TLS 1.1 不应继续作为常规支持选项。具体调整仍应结合适用的安全要求、服务软件版本和真实客户端范围。
检查时要看“服务器接受哪些版本”，而不只是“自己的浏览器协商了哪个版本”。浏览器选用了TLS 1.3，并不能证明服务器已经关闭旧协议。可使用经过授权的服务器检测工具检查每个公开入口，再与配置文件或云平台设置比对。
如果关闭旧协议后出现少量调用失败，应先确定调用方和使用的运行时。某个多年未更新的Java 程序或嵌入式设备，可能与日常浏览器不同。处理方案可以是升级客户端、替换组件，或在经过风险评估的独立入口安排过渡；不宜为一个无法识别的旧客户端，长期保留整个主站的宽松配置。
记录过渡安排时，需要有退出条件。仅写“因兼容性暂不调整”，却没有对应系统和维护人，往往会让临时例外变成永久配置。
第二步 检查能够协商的加密套件
加密套件决定连接采用哪些密码算法及相关参数。TLS1.2 和 TLS 1.3 的套件含义与配置方式有差异，不能把旧教程中的一串配置原样复制到所有版本。
对 TLS 1.2，应依据服务软件的安全建议选择适当的密钥交换与认证方式，优先采用现代的认证加密方案，移除不再适合的弱算法组合。TLS1.3 的套件主要指定认证加密算法和哈希，签名算法、密钥交换组需要另外考虑。扫描报告中的问题应回到对应配置项处理，不能仅凭名称长短或算法缩写判断安全性。
有些环境在 Web 服务器上改了配置，检测结果却没有变化。这时先检查前置设备：用户连接可能在 CDN 或负载均衡终止，实际协商由那里控制。应用服务器上的修改不会自动同步到前端监听器。
更换 RSA 或 ECC 证书也不是解决所有套件问题的通用办法。证书算法、客户端支持、服务器协商策略之间有关联，但换证书不会自动升级旧服务软件，更不会自动消除所有不适合的配置。
第三步 验证证书名称与服务端提供的证书链
证书链检查至少覆盖叶证书名称、有效期、中间证书和客户端信任锚。客户端访问的名称应出现在证书适当的标识项中；有效期应以线上返回的证书为准，而不是只看采购后台中的新订单。
服务端通常需要提供叶证书及建立信任路径所需的中间证书，不应把“把根证书也塞进去”当成客户端信任的解决办法。根证书是否受信任取决于客户端的信任配置，发送一张根证书并不会让陌生客户端自动信任它。
链不完整的故障可能具有终端差异。有的客户端可以利用缓存等机制完成验证，有的会直接失败。因此，应使用干净的测试环境或明确的验证工具复核服务端所发链，避免把一台维护电脑上的成功访问当成完整结论。
同一域名存在多个节点时，要抽查不同节点。保留序列号或指纹便于识别证书，但不要强求所有节点永远使用同一张证书；不同的有效证书也可能是合理部署。验收重点是每个节点均满足名称、有效性与信任要求，并符合企业的部署设计。
检测结果怎样变成维护任务
建议把问题按可执行动作记录，而不是只保存一个评分。下表可作为检查记录的简化格式。
| 发现 | 需要核对的位置 | 完成后的复测 |
| 仍接受不需要的旧协议 | 实际TLS终止设备 | 旧版本不可协商及目标客户端可访问 |
| 保留不适合的套件 | 对应版本的套件策略 | 弱选项移除及业务兼容性 |
| 中间链缺失或名称不符 | 监听器绑定与证书文件 | 原主机名和受影响客户端验证 |
处理完后再从外部执行一次检查，才能发现改错实例、未重载服务或配置被回滚等问题。配置变更记录还应注明修改者、时间与对应实例，以便后续定位差异。
证书到期维护可以交由适当的管理工具辅助，但TLS 安全配置仍需要服务负责人维护。GlobalSign TLS Connect 可以用于证书清单和相应申请、续期、部署流程，不能把它理解为自动修改所有服务器协议与套件的配置扫描器。企业可以用证书管理减少换证遗漏，同时保留独立的 TLS 配置检查和业务验收。
FAQ
Q1：检测得分提高后，网站是否就一定安全？
A：不能据此作完整判断。TLS检测只覆盖相应连接和配置，不包括网站全部应用漏洞、账号权限及业务风险。整改后仍应验证真实访问和其他安全要求。
Q2：使用TLS 1.3以后还需要检查证书链吗？
A：需要。协议版本不会替代证书名称、有效期与信任链验证，TLS1.3连接仍可能因证书配置错误而失败。
Q3：公网扫描正常，为什么源站仍有证书问题？
A：公网请求可能在CDN或负载均衡终止。边缘到源站是另一段连接，需要按实际回源名称、端口和信任要求单独检查。
Q4：购买新的SSL证书可以自动修复弱套件吗？
A：一般不能。套件策略通常由终止TLS的服务或设备控制，应修改对应配置并复测，而不是仅替换证书文件。
关于GlobalSign的检测与维护工具
GlobalSign 提供 SSL/TLS 证书、服务器检测入口及证书管理方案。对于同时面临配置检查与到期维护的团队，可以先使用服务器检测定位公开入口的问题，再根据证书规模及部署条件评估 TLS Connect。检测发现风险与完成证书生命周期操作，应分别留下复测记录，不能互相替代。
资料来源
IETF TLS与DTLS安全使用建议 RFC 9325
https://www.rfc-editor.org/rfc/rfc9325
GlobalSign SSL服务器检测
https://globalsign.ssllabs.com/
GlobalSign TLS Connect 官方说明
https://support.globalsign.com/tls-connect/tls-connect-faqs