今年六月鹰手营子矿区一家矿山设备企业要做等保测评其中一个要求就是网站必须上HTTPS。他们IT负责人自己弄完了结果第二天销售部炸锅了——好多老客户的电脑打开网站全是报错页面一片空白。他急得不行找我过去看了一下发现问题出在安全配置过于激进了。
具体是什么兼容性问题
我排查了一遍发现了好几个问题。第一：TLS最低版本设成了1.3导致Windows 7系统的IE11和旧版Chrome完全无法连接——但这批客户偏偏占他们销量的30%以上。第二：HSTS预加载列表提交过早且max-age设置了一年导致一旦有问题用户无法绕过。第三：CSP（内容安全策略）设置了过于严格的规则把内联脚本全部拦截了导致页面上的在线咨询功能失效。第四：部分内部系统还在用HTTP接口但主站强制跳转HTTPS导致跨协议调用失败。这些问题叠加在一起导致相当一部分用户无法正常访问。
怎么修复的
修复方案分优先级来处理。最高优：立刻开放TLS1.2支持保证基本连通性——改完之后Windows 7的用户马上就能访问了。高优：HSTS max-age从一年缩短到三十天CSP改为report-only模式先观察一周——这样即使有问题最多影响一个月而且不会直接拦截内容。武烈河、中优：排查所有内联脚本和外部资源逐步放行必要的CSP规则——这个过程花了大概三天因为涉及到多个页面的逐一检查。低优：规划内部系统的HTTPS改造给出过渡期方案——这个比较费时间预计要到年底才能全部完成。
怎么预防这类问题
事后复盘我觉得最大的教训是：做安全加固之前一定要先了解你的用户群体用什么设备和浏览器。这家矿山企业的客户大多是中小矿山的采购人员很多人用的电脑还是好几年前的旧系统。针对这种用户群体安全策略必须保守一点不能照搬互联网公司的最佳实践。具体预防措施：上线前用BrowserStack或者云测平台做一轮多浏览器兼容性测试尤其要覆盖老旧系统。安全配置采用渐进式策略先宽松运行一段时间确认没问题再逐步收紧。HSTS不要一开始就设很长的max-age先从几天开始慢慢加。
总结
安全和兼容性不是对立的关系但确实需要权衡。对于承德本地的传统行业企业来说用户群体的设备和浏览器可能比你想象的要旧安全加固的时候千万不能一刀切。建议你在做任何大的安全改动之前先做一个用户画像调查看看你的访客主要用什么系统和浏览器然后针对性地制定方案。如果你不确定怎么做我可以帮你做一个兼顾安全和兼容性的评估报告。