OWASP 应用程序安全验证标准 4.0.3

验证所有客户端连接是否使用 TLS，并且不会回退到不安全或未加密的通信。(C8)

使用最新的 TLS 测试工具验证仅启用强加密套件，并将最强的加密套件设置为首选。

验证仅启用 TLS 协议的最新推荐版本，如 TLS 1.2 和 TLS 1.3。TLS 协议的最新版本应作为首选选项。

验证与服务器的连接是否使用受信任的 TLS 证书。如果使用内部生成或自签名证书，必须将服务器配置为仅信任特定的内部 CA 和特定的自签名证书。其他所有证书都应被拒绝。

验证所有入站和出站连接（包括管理端口、监控、身份验证、API 或 Web 服务调用、数据库、云、无服务器、主机、外部和合作伙伴连接）是否使用加密通信，如 TLS。服务器不得回退到不安全或未加密的协议。

验证所有涉及敏感信息或功能的外部系统加密连接是否经过身份验证。

验证已启用并配置了适当的证书撤销，例如在线证书状态协议（OCSP）订书针。

验证后台TLS连接失败是否已被记录。