HTTPS 安全最佳实践

更严格的PCI DSS合规标准

PCI DSS，全称Payment Card Industry Data Security Standard,第三方支付行业数据安全标准，是由PCI安全标准委员会制定，力在使国际上采用一致的数据安全措施。

早在去年6月30号PCI安全标准委员会官方发表博文将于2018年6月30号（最晚），也就是本月月底禁用早期SSL/TLS，并实施更安全的加密协议(TLS v1.1或更高版本,强烈建议使用TLS v1.2)以满足PCI数据安全标准的要求，从而保护支付数据。

随着时间的临近，我们提前调整了PCI DSS合规判定标准（在原有的标准之上，支持TLS v1.0或更早的加密协议将会判定为不合规），方便您提前调整您的服务以避免违规的风险。

解决方案

评估兼容性后，禁用TLS1.0

nginx，如下所示:

ssl_protocols        TLSv1.1 TLSv1.2 TLSv1.3;

调整之后别忘了再检测一下。

说明

在未来我们的安全评级也将对TLS1.0做出合适的降级处理，在评估兼容性影响后，还是建议大家关闭TLS1.0, 现在TLS1.3都出来了，未来主流应该是TLS1.2+TLS1.3。

关于关闭TLS1.0的兼容性参考

大多数是比较老旧系统上自带浏览器不支持，如果是主流用户使用的Chrome、Firefox和国产浏览器基本都兼容

Jin

Read more posts by this author.

Read More

symantec 关于Symantec旧平台签发的证书升级提示说明 早些时候，DigiCert完成对了Symantec网站安全和公钥基础设施(PKI)业务的收购，成为了SSL/TLS与PKI全球领先的数字证书提供商。同时，DigiCert签署了一项Sub CA协议，将Symantec升级到DigiCert的PKI可信平台上，且表示将于2017年12月1日验证并升级所有Symantec证书，其详细时间表如下图所示。 从上图中我们可以了解，对于2016年6月1号之前使用Symantec旧平台签发的证书，最终替换时间为3月15日。对于2016年6月1日后签发的证书，最终替换日期为9月13日。 对于还没有替换且尚在有效期内的证书，我们通过Chrome浏览器访问时将被拦截，并显示如下图所示错误。 对于使用该证书的站点，我们将其评级降至E，并提示升级。 注意 距离2016年6月1日后使用Symantec旧平台签发证书的替换时间只有两个月了，使用该类证书的站点，在MySSL.com检测时，我们会给出如下图所示提示，如果您正好在使用该类证书，请尽快更新替换。 检测 您也可以使用我们的Symantec