国内5家云服务厂商 HTTPS 安全性测试横向对比

随着 Chrome、Firefox 等浏览器对 HTTPS 的重视，国内众多云服务厂商都相继提供 SSL 证书申购服务，但是大家有没有注意到一个细节，不同厂家申请的 SSL 证书，由于证书性能、功能差异的原因，开启 HTTPS 后的安全性并不相同。

其中影响 HTTPS 安全度，关键的一项是 HSTS，它可以在用户首次访问网站后，默认优先访问 HTTPS，只要访问过 HTTPS，之后访问该网站就不用担心被挟持了。

正是因为 HTTPS 存在这些细微差异，让我选择了国内5家云服务厂商的 SSL 证书服务在国际权威的 ssllabs 上进行了测试，下面就各家云服务厂商测试的结果。

阿里云（安全性 B）

测试网站：www.toutiao.com，节点测试IP：47.89.67.228，测试结果：B
服务器安全部署隐患为：

• 服务器支持较弱的 DH 密钥交换参数，安全等级被降低至 B(this server supports weak diffie-hellman (DH) key exchange parameters. Grade capped to B)

• 服务器支持 RC4，但只能使用较旧的协议，安全等级被降低至 B.（This server accepts RC4 cipher, but only with older protocols. Grade capped to B. ）

腾讯云 （安全性A-）

测试网站：www.gongchang.com，节点测试IP：157.255.128.111，测试结果：A-

服务器安全部署隐患为：

• 服务器不支持使用浏览器完全正向保密，安全等级被降低至 A-（The server does not support Forward Secrecy with the reference browsers. Grade reduced to A-）

又拍云（安全性A+）

测试网站：www.upyun.com，节点测试IP：115.231.100.108，测试结果：A+
该节点开启 HSTS，网站安全性测评为 A+（HTTP Strict Transport Security (HSTS) with long duration deployed on this server.）

七牛云（安全性A-）

七牛云作为融合云厂商，代理其他厂商的 CDN 服务。下面测试为七牛官网，使用的是腾讯云 CDN 。
测试网站：www.qiniu.com，节点测试IP：157.255.128.111，测试结果：A-

服务器安全部署隐患为：

• 服务器不支持使用浏览器完全正向保密，安全等级被降低至 A-（The server does not support Forward Secrecy with the reference browsers. Grade reduced to A-）

网宿（安全性A）

测试网站：www.damai.com，节点测试IP：220.243.236.26，测试结果：A

ssllabs 测试结果显示国内云服务厂商大多由于其 SSL 证书 DH 密钥交换参数、不支持使用浏览器完全正向保密、只能使用较旧的协议等问题，导致安全评级在 B 或者 A- 存在安全隐患。

而网宿 HTTPS 的评级达到了 A，又拍云达到了 A+，这主要是因为它们具有性能齐全的 SSL 证书， 而 HSTS 功能更是让又拍云的HTTPS 的安全级别达到了 A+ 。