选择密码套件可能很困难它们嘚名称可能看起来很复杂，但可以很容易地分解成它们的组件采取以下套房：

您应该只支持使用ECDHE和DHE（也称为EECDH和EDH）进行密钥交换的套件。EC變体更快并且都提供完美前向保密（PFS），这是必不可少的用ECDHE支持ECDHE和DHE的一个例子是首选。

绝大多数网络将使用RSA作为身份验证密钥因为咜得到了广泛的支持，但ECDSA的速度要快得多（来源）您可以同时为两个世界提供RSA和ECDSA证书（教程）。通过在身份验证段中检查RSA和/或ECDSA仅支持適合您情况的套件。

在上面的示例中AES_128_GCM形成密码。AES是首选算法使用128位密钥大小是可以接受的。出于性能原因您可以选择128位密钥而不是256位密钥。GCM段是密码的模式表示这是AEAD（带有关联数据的经过身份验证的加密）。GCM套件应优先于非GCM套件同一套件的GCM和非GCM版本的示例。

当我們按照首选顺序指定密码列表时我们需要告诉服务器强制执行该订单，否则不会

HTTP严格传输安全性

HSTS是一个HTTP响应标头，允许您将访问者的瀏览器配置为仅通过HTTPS与您通信无论发生什么。如果没有配置HSTS则不会完成HTTPS的部署。您可以在HSTS中阅读更多内容- 传输层安全性中缺少的链接我有很多文章涉及HSTS。

随着您对策略越来越有信心您可以增加max-age的大小并考虑HSTS预加载。