Heroku通用运行时自定义域名SSL加密套件支持受限问题

Heroku通用运行时的SSL终止由平台边缘层处理，默认加密套件由Heroku维护。要扩展支持的加密套件以适配第三方系统，可按以下步骤操作：

1. 明确第三方系统支持的加密套件 #

先获取第三方后台系统兼容的加密套件清单（可通过对方技术文档或SSL检测工具确认），优先选择TLS 1.2及以上版本的安全兼容套件，避免加入已被淘汰的弱加密套件（如SSLv3相关、DES/3DES类）。

2. 设置Heroku加密套件环境变量 #

通过Heroku CLI设置HEROKU_TLS_CIPHER_SUITES环境变量，将原有支持的套件与需要新增的兼容套件合并，用冒号分隔：

heroku config:set HEROKU_TLS_CIPHER_SUITES="TLS_AES_128_GCM_SHA256:TLS_AES_256_GCM_SHA384:TLS_CHACHA20_POLY1305_SHA256:TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256:TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384:TLS_ECDHE_RSA_WITH_CHACHA20_POLY1305_SHA256:TLS_RSA_WITH_AES_128_GCM_SHA256:TLS_RSA_WITH_AES_256_GCM_SHA384:[新增套件1]:[新增套件2]"

示例：若第三方支持TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256，就将其加入到列表末尾。

3. 验证配置生效 #

设置完成后，重启或重新部署应用，再通过SSL检测工具验证新增的加密套件是否已被支持，确认与第三方系统的连接恢复正常。

注意事项 #

• 加密套件列表需按优先级从高到低排列，Heroku会优先使用列表靠前的套件；
• 不要盲目添加大量老旧套件，需在兼容性与安全性之间平衡，优先选择符合PCI-DSS等安全标准的套件；
• 该配置仅适用于Heroku通用运行时，私有空间的配置方式不同。

内容的提问来源于stack exchange，提问作者David Aldridge