把 nginx 的 TLS 配到 1.3

2026-10-18

默认配置里 ssl_protocols 往往还留着 TLSv1.1。改成只允许 1.2 和 1.3 之后，握手参数用 openssl s_client 复查一遍。

ssl_protocols TLSv1.2 TLSv1.3;
ssl_prefer_server_ciphers off;
ssl_curves X25519:prime256v1;

注意 ssl_prefer_server_ciphers off 在 TLS 1.3 下是推荐值，客户端可以自行选择套件。