DDoS 防护：修改网站业务支持的TLS安全策略

前提条件

已添加网站配置，且网站配置的协议类型包含HTTPS。具体操作，请参见添加网站配置。

修改国际标准HTTPS证书的TLS安全策略

1. 登录DDoS高防控制台的域名接入页面。

2. 在顶部菜单栏左上角处，根据DDoS高防产品选择地域。

   • DDoS高防（中国内地）：选择中国内地地域。

   • DDoS高防（非中国内地）：选择非中国内地地域。

3. 在域名接入页面定位到目标域名，在操作列下单击编辑。

4. 在编辑网站页签，修改国际标准HTTPS证书的TLS安全策略。

   配置项	说明
   HTTPS证书TLS版本	选择国际标准HTTPS证书支持的TLS协议版本。可选项： 支持TLS1.0及以上版本，兼容性最好，安全性较低：支持TLS 1.0、TLS 1.1和TLS 1.2。 支持TLS1.1及以上版本，兼容性较好，安全性较好：支持TLS 1.1和TLS 1.2。 支持TLS1.2及以上版本，兼容性较好，安全性很高：支持TLS 1.2。 说明 也可以根据需要选择开启支持TLS1.3，并在自定义加密套件中选择应用对应的TLS1.3套件。
   HTTPS证书加密套件	选择国际标准HTTPS证书支持的加密套件。 说明 您可以将光标放置在某个加密套件选项上的图标，查看该选项包含的加密套件。 全部加密套件，安全性较低，兼容性较高（默认） 该选项包含以下加密套件： ECDHE-ECDSA-AES128-GCM-SHA256 ECDHE-ECDSA-AES256-GCM-SHA384 ECDHE-ECDSA-AES128-SHA256 ECDHE-ECDSA-AES256-SHA384 ECDHE-RSA-AES128-GCM-SHA256 ECDHE-RSA-AES256-GCM-SHA384 ECDHE-RSA-AES128-SHA256 ECDHE-RSA-AES256-SHA384 AES128-GCM-SHA256 AES256-GCM-SHA384 AES128-SHA256 AES256-SHA256 ECDHE-ECDSA-AES128-SHA ECDHE-ECDSA-AES256-SHA ECDHE-RSA-AES128-SHA ECDHE-RSA-AES256-SHA AES128-SHA AES256-SHA DES-CBC3-SHA 增强加密套件，安全性很高，兼容性很低 只有在TLS协议版本为支持TLS1.2及以上版本，兼容性较好，安全性很高时，支持该选项。 该选项包含以下加密套件： ECDHE-ECDSA-AES256-GCM-SHA384 ECDHE-ECDSA-AES128-SHA256 ECDHE-RSA-AES128-GCM-SHA256 ECDHE-RSA-AES256-GCM-SHA384 强加密套件，安全性较高，兼容性较低 只有在TLS版本为支持TLS1.2及以上版本，兼容性较好，安全性很高时，支持该选项。 该选项包含以下加密套件： ECDHE-ECDSA-AES128-GCM-SHA256 ECDHE-ECDSA-AES256-GCM-SHA384 ECDHE-ECDSA-AES128-SHA256 ECDHE-ECDSA-AES256-SHA384 ECDHE-RSA-AES128-GCM-SHA256 ECDHE-RSA-AES256-GCM-SHA384 ECDHE-RSA-AES128-SHA256 ECDHE-RSA-AES256-SHA384 ECDHE-ECDSA-AES128-SHA ECDHE-ECDSA-AES256-SHA 自定义加密套件 选择该选项后，您需要从全部加密套件中选择一个或多个加密套件。若开启了TLS1.3开关，请选择如下套件： TLS_AES_256_GCM_SHA384（TLS1.3） TLS_CHACHA20_POLY1305_SHA256（TLS1.3） TLS_AES_128_GCM_SHA256（TLS1.3） TLS_AES_128_CCM_8_SHA256（TLS1.3） TLS_AES_128_CCM_SHA256（TLS1.3）

5. 单击下一步，根据指引完成修改。

常见问题

• DDoS 高防是否校验后端服务器的 HTTPS 证书状态？

  不校验。

  DDoS 高防实例不会校验后端服务器（如 ALB、WAF 或源站 ECS）的 HTTPS 证书有效性（包括是否过期、域名匹配或颁发机构可信度）。其工作原理如下：

  • 前端终止 SSL/TLS：客户端与 DDoS 高防之间建立 HTTPS 连接时，由 DDoS 高防在前端完成 SSL/TLS 握手并解密流量。

  • 后端明文或重新加密转发：解密后的流量以 HTTP 形式（或根据配置重新发起 HTTPS 连接）转发至后端服务器。

  • 证书独立性：由于 TLS 终止发生在 DDoS 高防侧，后端链路的通信安全不依赖后端服务器自身的证书状态。因此，即使后端服务器的证书已过期、自签名或无效，只要 DDoS 高防前端证书有效，客户端到 DDoS 高防之间的 HTTPS 通信即可正常建立，业务访问不受影响。

  说明

  虽然 DDoS 高防不校验后端证书，但为保障端到端安全，建议后端服务器仍使用有效且受信任的证书，尤其是在高防与后端之间启用 HTTPS 回源时。

• SSL 安全扫描工具报告 3DES 相关漏洞怎么办？

  若 SSL 安全扫描工具报告存在 3DES 相关漏洞（如检测到 DES-CBC3-SHA），这是因为当前配置的加密套件列表中包含了该弱加密算法。DES-CBC3-SHA 基于 3DES 算法，已被行业认定为不安全，易受 Sweet32 等攻击。

  解决方案：

  1. 切换预设加密套件（推荐）
     在 DDoS 高防控制台中，将 HTTPS 证书的加密套件配置切换为 “强加密套件” 或 “增强加密套件”。这两种预设方案均不包含 DES-CBC3-SHA，可快速修复漏洞。

  2. 自定义加密套件
     若需保留部分特定套件，可选择“自定义加密套件”，并在列表中手动取消勾选 DES-CBC3-SHA，确保其余套件均为现代安全算法（如 AES-GCM、CHACHA20 等）。

  若配置后扫描仍报漏洞，请排查以下原因：

  • 确认配置生效：登录 DDoS 高防控制台，检查当前实例实际绑定的加密套件是否已更新为目标配置。

  • 清除扫描缓存：部分扫描工具会缓存历史结果，请清除缓存后重新执行扫描。

  • 排除误报可能：确认扫描目标是否为 DDoS 高防 IP（而非直接扫描后端服务器），并检查扫描工具是否存在逻辑误报。