CDN 安全评分方法：TLS、HTTP 安全头与厂商声明如何区分

安全评分首先要承认边界

延迟可以用毫秒表示，安全却包含协议配置、证书、响应头、访问控制、清洗能力、运营流程和业务代码。把所有内容压缩成一个没有证据来源的总分，会制造一种不真实的确定性。

CdnChart 将 CDN 安全信息分为两类：可以通过公开边缘行为重复观测的实测项，以及来自厂商公开材料、但不能通过安全探测独立验证的能力声明项。前者可以进入可复核评分，后者必须单独展示并标注证据来源。

可实测项：边缘配置能够说明什么

平台对边缘端点进行非侵入式检查，重点观察以下配置：

• TLS 1.3 是否支持；
• 是否仍接受弱加密套件；
• 证书链是否完整、是否能够正常验证；
• 是否默认返回 HSTS；
• 是否返回 CSP；
• 是否返回 X-Content-Type-Options；
• 是否支持 HTTP/3；
• 是否启用 OCSP Stapling。

这些检查能够回答“公开端点在本次观测中表现出什么配置”，不能直接回答“厂商所有产品线和所有租户都具备什么能力”。同一个供应商的不同产品、套餐、区域和客户配置可能不同，因此结果必须绑定到目标端点、测量时间和响应事实。

TLS 和证书链

TLS 1.3 支持可以减少握手轮次并提供更现代的密码套件协商，但它不是完整安全性的代名词。评分还需要检查是否存在弱套件、证书是否过期或链不完整、服务端是否正确返回中间证书，以及不同协议入口是否表现一致。

证书检查也必须区分“验证失败”和“没有采集到足够信息”。前者是明确的失败，后者是未知状态。将未知直接当作通过或失败，都会把数据质量问题伪装成安全结论。

安全响应头

HSTS 可以要求浏览器优先使用 HTTPS；CSP 用于限制脚本、资源和连接来源；X-Content-Type-Options 可以减少 MIME 类型嗅探风险。这些响应头的存在很有价值，但它们是否真正保护业务，还取决于值是否正确、覆盖路径是否完整以及源站和应用是否配合。

因此，平台首先记录头是否存在和实际值，再根据可解释规则评估。不能因为首页返回了 HSTS，就宣称整个网站所有路径都已经完成安全加固。

HTTP/3 和 OCSP Stapling

HTTP/3 反映的是端点是否支持基于 QUIC 的现代传输协议。它会影响连接建立和弱网络环境下的体验，但不是安全分的唯一决定因素。OCSP Stapling 则关系到证书撤销状态的传递方式，同样需要结合协议、证书链和实际握手结果阅读。

这些字段适合作为可实测控制项，而不是供应商整体安全能力的代理变量。平台的安全卡片会把每一项的通过、未通过和未知状态分开显示。

为什么 WAF 和 DDoS 不直接打分

真正验证 WAF 规则、DDoS 清洗容量或 Bot 管理能力，往往需要构造攻击流量、超过服务阈值或触发客户防护策略。这既不适合公开平台，也可能违反合规和安全边界。

CdnChart 会整理厂商公开文档中的 WAF、DDoS、防爬和相关能力，标注为“厂商声明，未独立验证”。声明可以帮助用户了解产品范围，但不能与 TLS 或响应头的实测结果放进同一个未经解释的数字里。

评分如何保持可复核

安全评分应当使用版本化的检查规则和权重。每个维度保存目标地址、HTTP 状态、扫描时间、原始事实、成功状态和错误信息；聚合时明确哪些项目参与计算，哪些项目因未知或数据不足被排除。

平台不会把一次扫描结果描述成永久能力，也不会用缺失数据填充一个好看的分数。安全分的解释应该至少包含：

• 扫描时间和目标范围；
• 实测项列表及各项状态；
• 通过、未通过、未知的区别；
• 评分规则版本和数据新鲜度；
• 厂商声明的来源和未验证标签。

如果某个厂商的安全分暂未达到质量门槛，页面应展示数据积累状态，而不是与样本充分的厂商做不对等比较。

如何使用安全评分做选型

先打开厂商详情页的安全评分卡，查看实测项和声明项是否符合你的合规要求；再使用CDN 对比把安全、延迟、可用性和吞吐量放在同一范围内比较；最后回到评测方法核对扫描边界和数据更新时间。

安全评分适合做初筛、供应商复盘和配置变更后的回归检查。它不能替代渗透测试、代码审计、WAF 规则评审、DDoS 预案或合同 SLA。

负责任的安全测量

平台只执行公开端点的低风险配置检查，不发送攻击载荷，不压测清洗能力，不绕过访问控制，也不把安全测试扩展成对客户业务的侵入。所有结论都应能回到一个具体的响应、握手或公开来源。

总结

可信的 CDN 安全评分不是把厂商宣传材料加总成一个数字，而是把“测到了什么”和“厂商声称什么”清楚分开。CdnChart 对 TLS、证书链、响应头、HTTP/3 和 OCSP 等可观察项建立可复核检查，对 WAF 和 DDoS 等不可安全主动验证的能力保留声明边界。专业的评分系统，首先要对证据负责。