等保测评中SSL证书配置有哪些常见扣分项？

等保测评中SSL证书配置的常见扣分项主要集中在证书过期、使用过时算法、未强制全站 HTTPS 以及证书链不完整，这四个方面是导致评分低的核心原因。

证书过期或即将过期会直接导致扣分吗

结论： 证书必须在有效期内，且建议在过期前 30 天完成续期，否则属于严重的安全漏洞。等保测评中，证书过期是绝对红线，一旦检测到证书已失效或剩余有效期不足 30 天，直接判定为不合规。

在实际操作中，管理员需要定期检查证书状态。可以使用 OpenSSL 命令查看证书有效期：在 Linux 终端输入 openssl x509 -enddate -noout -in your_certificate.crt，系统会返回证书的到期时间。建议将证书有效期设置为 1 年或 3 年，并开启自动续期提醒。对于使用 Let's Encrypt 等免费证书的用户，需配置自动化脚本在证书到期前 7 天触发续期，切勿等到证书失效后再去处理。

加密算法和协议版本过时如何避免扣分

结论： 必须禁用 SSLv2、SSLv3、TLS 1.0 和 TLS 1.1，强制使用 TLS 1.2 或 1.3 协议，并剔除 RC4、DES 等弱加密套件。等保 2.0 要求系统支持高强度的加密算法，使用过时的协议和算法会被直接扣分甚至判定为高风险。

配置时，需根据服务器类型修改配置文件。例如在 Nginx 中，应在 ssl_protocols 指令中明确指定支持的协议：ssl_protocols TLSv1.2 TLSv1.3;，并添加 ssl_ciphers HIGH:!aNULL:!MD5; 来限制加密套件。在 Apache 中，需在 SSLProtocol 配置项中移除所有旧版本协议，仅保留 TLS 1.2 和 1.3。确保服务器不支持不安全的协议，能有效防止中间人攻击和协议降级攻击。

未强制全站 HTTPS 会导致多少分损失

结论： 必须强制全站使用 HTTPS，HTTP 访问必须自动跳转至 HTTPS，且必须完全禁用 HTTP 端口。未启用 HTTPS 或存在 HTTP 明文传输，在等保测评中属于基础安全配置缺失，通常直接判定为不合规。

实现全站 HTTPS 需要在服务器配置中添加重定向规则。在 Nginx 中，通过 return 301 https://$host$request_uri; 实现永久重定向；在 Apache 中，使用 <VirtualHost *:80> 段落配置 Redirect permanent / https://yourdomain.com/。配置完成后，务必使用浏览器或在线工具（如 SSL Labs Server Test）测试，确保所有 HTTP 请求均被正确重定向，且没有 HTTP 端口在监听。

证书链不完整为什么会被扣分

结论： 必须上传完整的证书链，包括服务器证书和中间证书，确保浏览器能验证到根证书。证书链缺失会导致浏览器显示“不安全”或“证书错误”，在测评中属于严重的安全隐患。

很多用户只上传了服务器证书，忽略了中间证书（CA Bundle）。正确的配置方式是：将“服务器证书”和“中间证书”拼接成一个文件，按顺序上传到服务器。可以使用 cat server.crt intermediate.crt > fullchain.pem 命令合并文件。验证方法是在终端输入 openssl s_client -connect yourdomain.com:443 -servername yourdomain.com，查看证书链输出，确认从服务器证书到根证书的路径完整，没有中断。