苹果App HTTPS配置指南，苹果ATS证书的选择及配置

iOS ATS对SSL证书有什么要求？

苹果ATS（App Transport Security，应用传输安全）是苹果针对iOS应用推出的网络安全机制，要求App与服务器之间必须使用安全的HTTPS连接。

自2017年起，苹果逐步限制iOS应用使用HTTP明文通信。如果App访问接口未配置符合要求的SSL证书或TLS协议，可能出现接口请求失败、数据加载异常等问题。

简单来说：

iOS ATS要求网站或API服务器必须部署可信SSL证书，并开启TLS 1.2及以上安全协议。

iOS ATS对SSL证书有哪些要求？

苹果ATS主要从以下几个方面检查HTTPS连接：

1. SSL证书必须来自可信CA机构

iOS系统内置了大量可信根证书，App访问HTTPS接口时，会验证服务器证书是否由受信任CA签发。

常见受iOS信任的SSL证书品牌包括：

• DigiCert
• GeoTrust
• Sectigo
• GlobalSign
• Let's Encrypt
• 锐安信等

对于企业App、金融App、政务App等业务场景，建议选择OV SSL证书或EV SSL证书。

原因是：

• DV证书只验证域名控制权
• OV证书验证企业身份
• EV证书执行更严格组织审核

如果App涉及用户登录、支付、交易等敏感业务，企业身份验证更加重要。

2. SSL证书算法必须满足安全要求

苹果ATS要求证书使用现代加密算法。推荐：

RSA证书

• RSA 2048位以上
• SHA-256签名算法

ECC证书

• ECDSA P-256
• ECDSA P-384

目前主流商业SSL证书均支持以上算法。

不建议使用RSA 1024位，SHA-1签名证书，已废弃弱加密算法。

3. 服务器必须开启TLS 1.2以上协议

ATS要求HTTPS服务器支持TLS 1.2。

推荐配置：TLS 1.2、TLS 1.3

不建议继续开启：SSL 3.0、TLS 1.0、TLS 1.1

因为这些协议已经被主流浏览器和系统逐步淘汰。

不同服务器如何满足ATS要求？

Nginx配置TLS 1.2/1.3

示例：

server {

ssl_protocols TLSv1.2 TLSv1.3;

ssl_ciphers 
ECDHE-RSA-AES128-GCM-SHA256:
ECDHE-RSA-AES256-GCM-SHA384;

}

建议：

• 使用OpenSSL 1.1.1以上版本
• 开启TLS 1.3
• 禁止RC4、3DES、MD5等弱算法

Apache服务器

Apache需要：

• OpenSSL 1.0.1以上
• mod_ssl模块开启

检查：openssl version

确认OpenSSL版本满足TLS要求。

Tomcat服务器

Tomcat HTTPS配置依赖：

• JDK 7以上
• 推荐JDK 8+
• 支持TLS 1.2

示例：

<Connector
port="443"
SSLEnabled="true"
SSLProtocol="TLSv1.2+TLSv1.3"
/>

IIS服务器

Windows Server环境需要注意：部分旧版本IIS默认关闭TLS 1.2。

例如：IIS 7.5 需要手动开启TLS 1.2。

推荐：Windows Server 2016+、IIS 10 并关闭TLS 1.0/1.1。

iOS App访问HTTPS失败的常见原因

1. SSL证书不受信任

错误：The certificate for this server is invalid

常见原因：

• 使用自签名证书
• 根证书不受iOS信任
• 中间证书缺失

解决办法：部署完整证书链

服务器证书
+
中间CA证书
+
根证书

2. TLS协议版本过低

例如服务器只支持：TLS 1.0

iOS访问会失败。

解决升级服务器TLS配置：TLS 1.2+

3. SSL证书域名不匹配

例如证书申请：www.example.com

但App访问：api.example.com

会导致：CERTIFICATE_VERIFY_FAILED

解决办法就是申请：多域名SSL证书 或 通配符SSL证书。

4. HTTPS接口存在HTTP资源

例如App请求：https://api.example.com

但返回内容包含：http://image.example.com

可能触发ATS限制。

解决办法：所有接口和资源统一使用HTTPS。

如何检测SSL证书是否符合iOS ATS要求？

苹果官方提供检测工具：

在macOS终端执行：nscurl --ats-diagnostics --verbose https://example.com

可以检测：TLS版本、证书信任、加密套件、ATS兼容性

同时也可以使用SSL检测工具检查：

• SSL证书链
• TLS协议
• 加密算法
• OCSP状态

常见问题

Q：自签名证书能否直接用于 iOS ATS 通信？

默认配置下不能。

自签名证书未包含在系统的受信任根证书库中，ATS 会拦截连接。若在开发阶段必须使用，需在 iOS 设备上手动安装并信任根证书，或在 App 代码中实现自定义 SSL Pinning（证书绑定）。

Q：ATS 是否强制要求开启 HTTP/2？

ATS 并没有强制要求 HTTP/2 协议，它聚焦的是 TLS 传输层的安全性。

只要 TLS 1.2/1.3 及密码套件符合标准，传统的 HTTP/1.1 加密连接依然可以通过 ATS 验证。

Q：在 App 中配置 NSAllowsArbitraryLoads 绕过 ATS 是否影响 App Store 上架？

是的。

苹果审核团队对全局绕过 ATS 的行为有严格审查。

除非 App 需要连接无法控制的第三方旧版服务器且能提供充分说明，否则滥用该开关极易导致应用被拒绝上架。

Q：免费SSL证书可以用于iOS App吗？

可以。

例如TopSSL免费DV证书，只要iOS系统信任、证书链完整、TLS配置符合要求即可用于HTTPS接口。

但企业生产App通常更推荐商业SSL证书，因为可以获得

• 企业身份认证
• 技术支持
• 更完善的证书管理服务。

Q：微信小程序和iOS App对SSL证书要求一样吗？

基本类似，都要求HTTPS连接可信。

区别是：

• iOS ATS由苹果控制
• 微信小程序由微信平台审核

两者都要求服务器部署有效SSL证书。

Q：APP接口应该选择什么SSL证书？

建议：

参考证书配置要求

苹果ATS针对证书相关配置有如下四个方面的要求。