CAA记录是提升域名证书签发安全性的一个简单而有效的工具。配置的核心在于通过 issue 和 issuewild 标签明确列出你信任的CA，并利用 iodef 标签建立监控。
启用 HSTS 预加载，相当于向全世界宣布你的域名将永久地、无条件地仅通过 HTTPS 提供服务。这是一个强大但几乎不可逆的安全承诺。建议是：除非你的业务对“首次访问安全”有绝对需求，并且你已做好终身支持所有子域名 HTTPS 的充分准备，···
防止 SSL/TLS 降级攻击的核心在于服务端禁用低版本协议，并启用 TLS_FALLBACK_SCSV 机制来主动检测并拒绝降级尝试。理解降级攻击与 TLS_FALLBACK_SCSV.在 Nginx 中配置.在 Apache 中配置.验···
准确的表述是：规范允许明文，但浏览器只接受加密。在实际部署中，为了让网站能被主流浏览器以 HTTP/2 访问，配置 HTTPS 是必要的前提。
配置 OCSP Stapling 是优化 TLS 握手性能的关键步骤，它能将证书吊销状态查询的工作从客户端转移到服务器，从而显著减少延迟。以下是 Nginx 和 Apache 的具体配置方法。
