如何优化才能在 Qualys SSL Labs 的测试里拿到 A+ 呢？

[Livid]

https://www.ssllabs.com/ssltest/

很好奇两个问题：

- 有 A+ 这个等级么？
- 有比 A+ 更高的等级么，如果四项全部 100 的话有可能可以拿到 S 级？

[Tianpu]

基本配置+ocsp+hsts就是A+

全部100没什么意义，要牺牲很多兼容性

http://blog.ricardomacas.com/index.php?controller=post&action=view&id_post=2

[zhttty]

http://www.jamescrowley.co.uk/2014/02/02/achieving-forward-secrecy-and-strict-transport-security-in-iis/

[imlonghao]

esd.cc A+
长HSTS.

[futursolo]

有办法，只是要牺牲IE6和Android 2.3

[futursolo]

将Nginx和OpenSSL更新到最新并使用以下配置就可以达到A+。
ssl_protocols TLSv1 TLSv1.1 TLSv1.2;
ssl_ciphers CHACHA20:AES128:AES256:GCM:!DH:!RC4:!aNULL:!eNULL:!LOW:!3DES:!MD5:!EXP:!PSK:!SRP:!DSS;
add_header Strict-Transport-Security max-age=31536000;
ssl_prefer_server_ciphers on;

[liuchen9586]

用SHA256证书（注意补全中间链），开启长HSTS（Nginx可以做到），SSL方式选TLS 1.0 / 1.1 / 1.2 即可。

[vibbow]

https://mozilla.github.io/server-side-tls/ssl-config-generator/

[ls25145]

我说怎么地址栏里原来的三角感叹号变成锁了呢

[blahgeek]

那个网站本身也只有A+... https://www.ssllabs.com/ssltest/analyze.html?d=ssllabs.com

[xiaozhizhu1997]

关键就是忽略掉SSL3.0，不过会间接放弃对IE6及更低版本的支持
事实证明SSL3.0真的不安全了