一、项目背景
包头东河区南门广场周边一家进出口贸易公司，官网运行5年。2026年3月，用最新版Chrome访问官网时，地址栏显示不安全警告，导致询盘量减少了约30%。问题根源是官网一直使用HTTP协议，没有部署SSL证书。客户还提到特殊需求：支持国密算法（SM2/SM3/SM4）。
二、咨询设计
双证书部署方案：国际算法SSL证书（Let's Encrypt，RSA 2048 + SHA-256）和国密SSL证书（CFCA或沃通，SM2 + SM3）。Web服务器：Nginx 1.24，国密支持使用Tongsuo开源密码库。
反直觉洞察：Let's Encrypt的安全性和付费证书一样，而且支持ACME自动续期，反而比付费证书更安全。真正需要付费证书的场景是：电商（OV/EV）、金融（国密合规）。
三、施工规划
三个阶段，不停网站服务。使用acme.sh申请Let's Encrypt证书，使用GmSSL生成SM2证书CSR。修改Nginx配置，新增443端口监听，强制HTTP跳转HTTPS，启用HSTS，配置TLSv1.2+TLSv1.3，启用OCSP Stapling。
四、安全补丁
- 协议加固：禁用SSLv3、TLSv1.0/1.1，只启用TLSv1.2和TLSv1.3
- 密码套件优化：优先ECDHE+AES-GCM
- HSTS头部：防止SSL Stripping攻击
- OCSP Stapling：提高SSL握手速度
- 证书监控：使用Prometheus+Blackbox Exporter，到期前30天告警
五、验收交付
Chrome、Edge、Firefox、Safari全部显示小锁图标，SSL Labs评级A+，360安全浏览器（国密版）正常显示，百度搜索资源平台抓取诊断通过。
六、售后承诺
- 证书续期：Let's Encrypt自动续期
- 安全巡检：每年免费一次SSL安全配置巡检
- 热线：17704868686
【不舍昼夜技术·包头鄂尔多斯IT全生命周期服务】业务全闭环：咨询规划、方案设计、工程实施、竣工验收、维保售后。咱能干的：包头鄂尔多斯修电脑/装监控/拉网线/做系统/救数据/办软件/卖耗材。技术范畴：5G通信、大数据服务、信息系统集成、网络安全、商用密码、平面设计。服务区域：昆区、青山区、九原区、东河区、高新区等包头全境；东胜区、康巴什区、伊旗、准旗、达旗等鄂尔多斯全境，随叫随到。技术热线：17704868686（本地专业团队，不舍昼夜为您守候！）