内容摘要：Windows 10 的 TLS 设置问题，比很多人想象中更隐蔽。我上周刚帮一位朋友处理网银无法登录的故障，折腾半天，最后发现罪魁祸首就是 TLS 1.0 被强制关闭，而系统默认的加密协议顺序根本没跟

Windows 10 的全设 TLS 设置问题，比很多人想象中更隐蔽。置未置我上周刚帮一位朋友处理网银无法登录的设置故障，折腾半天，为默最后发现罪魁祸首就是认设 TLS 1.0 被强制关闭，而系统默认的全设加密协议顺序根本没跟上。

微软在 Win10 里其实早就把 TLS 1.2 和 1.3 列为推荐项，置未置但“推荐”不等于“默认”。设置打开 Internet 选项 → 高级 → 安全设置，为默你会看到一长串复选框。认设TLS 1.0 默认勾着，全设TLS 1.1 也勾着，置未置但 TLS 1.2 有时候反而没勾全——特别是设置某些 OEM 预装系统或经过“优化工具”精简过的版本。这导致浏览器和服务器协商时，为默优先选用了老旧的认设 TLS 1.0，而很多银行、政务网站出于合规要求，已经彻底禁用了这个协议。

更麻烦的是，Windows 10 的“自动更新”并不会替你修正这些注册表项。我见过不少企业电脑，IT 部门推送了补丁，但组策略里锁死了 Schannel 配置，TLS 1.2 被手动禁用。用户端看起来一切正常，实际访问 HTTPS 站点时，系统只能回退到 SSL 3.0——这玩意儿 2014 年就被爆出 POODLE 漏洞，现在连 Chrome 和 Firefox 都直接拒绝支持。

你要是自己动手改，得注意一个坑：单纯勾选“TLS 1.2”不够，还得检查“使用 TLS 1.2”下面的“椭圆曲线密码”和“RSA”子选项。Win10 的某些版本（比如 1809 之前的）默认不启用 TLS 1.3，即便你手动勾选了，系统仍会优先尝试 TLS 1.2。真正的“默认设置”应该是：TLS 1.0 和 1.1 取消勾选，TLS 1.2 和 1.3 全部勾上，并且把“仅使用强加密”打开。

改完注册表后，别急着关窗口。有个细节很多人忽略：HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols 下，如果存在 TLS 1.0 的“DisabledByDefault”值为 1，即使你在界面里勾掉了，系统底层仍然会尝试启用。这会造成一种诡异现象——设置面板显示 TLS 1.2 已启用，但实际握手包还是 TLS 1.0。你得删掉整个 TLS 1.0 键值，或者把 Enabled 改成 0，才算真正干净。

最后提醒一句：别用网上那些“一键修复 TLS”的脚本。我见过好几个案例，脚本把 CipherSuites 的顺序打乱，导致 Office 365 客户端直接报错 0x80072f8f。手动改完，重启一次系统，再用 netsh trace start 抓包看看 ClientHello 里是否有 TLS 1.2 的 cipher suite。没有的话，检查是否被安全软件（比如某些国产杀毒）的“网页防护”功能劫持了网络栈——那个功能经常强制注入自己的 TLS 代理，绕过系统设置。

反正，Win10 的 TLS 默认值就是个半成品。微软把选择权扔给用户，却没做好迁移工具。你只能自己动手，或者祈祷用到的每个网站都还支持 TLS 1.0——但这种侥幸心理，迟早会栽跟头。