Nginx SSL 配置生成器

TLS 配置生成器的 Nginx 预设生成加固过的 Nginx HTTPS 配置。选好档位和选项，把生成的 server 块复制到站点配置里，用 nginx -t 测试后重载。

示例：中级档

server {
    listen 80;
    listen [::]:80;
    server_name example.com;
    return 301 https://$host$request_uri;
}

server {
    listen 443 ssl;
    listen [::]:443 ssl;
    http2 on;
    server_name example.com;

    ssl_certificate     /etc/ssl/example.com/fullchain.pem;
    ssl_certificate_key /etc/ssl/example.com/privkey.pem;

    ssl_session_timeout 1d;
    ssl_session_cache shared:MozSSL:10m;
    ssl_session_tickets off;

    ssl_protocols TLSv1.2 TLSv1.3;
    ssl_ciphers ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305;
    ssl_prefer_server_ciphers off;

    add_header Strict-Transport-Security "max-age=63072000; includeSubDomains" always;

    root /var/www/example.com;
}

国内环境说明

• 宝塔面板：在“网站 → 设置 → SSL”里粘贴“密钥(KEY)”和“证书(PEM格式)”后，面板会把证书写到 /www/server/panel/vhost/cert/<网站名>/ 下的 fullchain.pem 和 privkey.pem，并在配置文件里生成 ssl 相关指令。要改协议和套件，在“配置文件”里修改 ssl_protocols、ssl_ciphers 这几行。
• 阿里云、腾讯云下载的 Nginx 证书包：里面的 .pem/_bundle.crt 已经是证书链，直接给 ssl_certificate；.key 给 ssl_certificate_key。

版本要求

• TLS 1.3：Nginx 1.13.0+，并且链接 OpenSSL 1.1.1+，用 nginx -V 确认。
• http2 on;：Nginx 1.25.1+。更老的版本删掉这一行，改为 listen 443 ssl http2;。
• 后量子：ssl_ecdh_curve X25519MLKEM768:X25519:prime256v1:secp384r1; 需要 OpenSSL 3.5+，版本不够时 Nginx 无法启动，确认后再勾选。

测试并重载

sudo nginx -t && sudo systemctl reload nginx
curl -sI https://example.com | grep -i strict-transport

然后用 SSL 检查确认协议和证书链。

常见错误

• ssl_certificate 只放了站点证书：浏览器也许没事，但 curl、Java、小程序后端调用会失败。用 fullchain.pem（见证书链补全）。
• 在 location 里写了 add_header：会覆盖从 server 块继承来的所有 add_header，HSTS 在这个 location 里悄悄消失了。在那个 location 里把 HSTS 再写一遍。
• 私钥和证书不匹配：Nginx 报 “key values mismatch”，用私钥匹配工具检查。