今年年初帮承德县一家农产品电商平台做安全加固。做完之后第二天客服就接到投诉说有客户打不开网站了提示证书错误或者页面空白。我一查发现是因为我们启用了比较新的加密协议结果一些老版本的浏览器不支持导致部分用户无法访问。这件事给我提了个醒：安全很重要但不能为了安全牺牲用户的正常访问。
常见的兼容性坑有哪些
在承德做企业网站安全加固的时候有几个坑特别容易踩。第一个是SSL/TLS版本设置太新——只允许TLS1.3的话Windows 7自带的IE和一些旧版Chrome就访问不了了。第二个是HTTP Strict Transport Security（HSTS）设置不当——一旦开启用户再想用HTTP访问就会被强制跳转如果HTTPS有问题就直接打不开了。第三个是混合内容问题——页面本身是HTTPS但里面引用了HTTP的图片或脚本浏览器会拦截或者警告。第四个是一些安全头（如Content-Security-Policy）写得太严格把正常的脚本也给拦了。这些问题我在坝上草原一家民宿网站上全都遇到过一次踩完就记住了。
怎么平衡安全和兼容性
我的经验是要根据你的目标用户来调整策略。如果你的客户主要是年轻人用新版浏览器那就可以激进一点用最新的安全配置。武烈河、但如果你的客户群体里有大量政府机关或者年纪大的用户他们的电脑系统可能比较老那就得保守一些。具体做法：TLS版本至少保留TLS1.2不要只开1.3。HSTS可以先设短一点的max-age比如一个月而不是一年出了问题用户等一个月就好了不用手动清除。CSP不要上来就全禁用先用report-only模式观察一段时间哪些脚本被拦截了再逐步放行。
实际案例：怎么修复的
回到那个农产品电商平台的问题。最终我们的修复方案是：TLS1.2和1.3都开启HSTS max-age改为30天CSP改成report-only模式同时排查并修复了所有混合内容。修完之后再没有收到类似的投诉。整个排查和修复过程花了大概两天时间但避免了更多的客户流失。后来我跟老板说安全加固不是一次性的事情做完之后要持续监控用户反馈发现问题及时调整。
总结
安全加固和用户体验之间需要找到一个平衡点。不能为了追求最高的安全评级而不管用户能不能正常使用。建议你在做安全改造之前先了解一下你的用户主要用什么系统和浏览器然后针对性地制定方案。做完之后一定要用不同设备和浏览器测试一遍尤其是那些老旧的组合。如果你不确定怎么调可以找我帮你做一个兼顾安全和兼容性的方案。