项目 API 的 TLS
你们项目的 API 只接受 HTTPS 连接。使用此页面上的 TLS 版本和加密套件来检查客户端是否可以连接，或者回答安全扫描中的发现。
🌐 Your project's APIs accept only HTTPS connections. Use the TLS versions and cipher suites on this page to check whether a client can connect, or to answer findings from a security scan.
这些设置适用于你项目的默认域 <project_ref>.supabase.co，以及自定义域。它涵盖了该域上的所有服务：身份验证、数据 API、存储、实时功能和边缘函数。对于直接的 Postgres 连接以及通过连接池的连接，请参见Postgres SSL 强制。
🌐 These settings apply to your project's default domain, <project_ref>.supabase.co, and to custom domains. It covers every service on that domain: Auth, the Data API, Storage, Realtime, and Edge Functions. For direct Postgres connections and connections through the pooler, see Postgres SSL Enforcement.
过时的 TLS 1.2 加密套件已被弃用
最早在2026年11月10日，使用旧的、不受支持操作系统的客户端，或者未更新的嵌入式设备，可能将无法再连接到你项目的 API。要检查你的客户端，请参阅移除 CBC 模式加密。
🌐 On November 10, 2026, at the earliest, clients on old, unsupported operating systems, or embedded devices that haven't been updated might no longer be able to connect to your project's APIs. To check your clients, see Removal of CBC-mode ciphers.
支持的 TLS 版本 #
🌐 Supported TLS versions
项目 API 支持使用 TLS 1.2 和 TLS 1.3 连接。不支持 SSL 3.0、TLS 1.0 和 TLS 1.1。
🌐 Project APIs accept connections using TLS 1.2 and TLS 1.3. SSL 3.0, TLS 1.0, and TLS 1.1 aren't supported.
支持的加密套件 #
🌐 Supported cipher suites
项目的 API 支持所有标准的 TLS 1.3 加密套件。
🌐 Project APIs support all standard TLS 1.3 cipher suites.
在 TLS 1.2 上，项目 API 提供以下加密套件：
🌐 On TLS 1.2, project APIs offer the following cipher suites:
| IANA 名称 | OpenSSL 名称 |
|---|---|
TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256 | ECDHE-ECDSA-AES128-GCM-SHA256 |
TLS_ECDHE_ECDSA_WITH_CHACHA20_POLY1305_SHA256 | ECDHE-ECDSA-CHACHA20-POLY1305 |
TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256 | ECDHE-RSA-AES128-GCM-SHA256 |
TLS_ECDHE_RSA_WITH_CHACHA20_POLY1305_SHA256 | ECDHE-RSA-CHACHA20-POLY1305 |
TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384 | ECDHE-ECDSA-AES256-GCM-SHA384 |
TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384 | ECDHE-RSA-AES256-GCM-SHA384 |
在移除日期之前，项目 API 仍然提供在移除 CBC 模式加密中列出的已弃用 CBC 模式密码套件。
🌐 Until the removal date, project APIs also offer the deprecated CBC-mode cipher suites listed under Removal of CBC-mode ciphers.
移除 CBC 模式加密 #
🌐 Removal of CBC-mode ciphers
加密套件决定了连接的加密方式。使用密码块链（CBC）模式的加密套件存在已知的安全漏洞，安全扫描器通常会标记它们。Supabase 将在最早于 2026 年 11 月 10 日在项目 API 上停止提供以下 TLS 1.2 加密套件：
🌐 A cipher suite determines how a connection is encrypted. Cipher block chaining (CBC) mode cipher suites have known security weaknesses and security scanners commonly flag them. Supabase will stop offering the following TLS 1.2 cipher suites on project APIs on November 10, 2026, at the earliest:
| IANA 名称 | OpenSSL 名称 |
|---|---|
TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA256 | ECDHE-ECDSA-AES128-SHA256 |
TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256 | ECDHE-RSA-AES128-SHA256 |
TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA384 | ECDHE-ECDSA-AES256-SHA384 |
TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384 | ECDHE-RSA-AES256-SHA384 |
日期可能会根据客户反馈往后推。
🌐 The date might move later based on customer feedback.
受影响的客户 #
🌐 Affected clients
如果客户端无法使用 TLS 1.3，并且它与项目 API 共享的唯一 TLS 1.2 加密套件都是 CBC 模式的，那么客户端就会受到影响。有关剩余加密套件的信息，请参见 支持的加密套件。移除后，它在 TLS 握手过程中会失败，无法连接到你的项目 API。
🌐 A client is affected if it can't use TLS 1.3 and the only TLS 1.2 cipher suites it shares with project APIs are the CBC-mode ones. For the cipher suites that remain, see Supported cipher suites. After the removal, it fails during the TLS handshake and can't connect to your project's APIs.
在2026年9月，连接到Supabase项目的连接中，使用这些加密套件的不到0.0001%。依赖它们的客户端通常运行的是已终止支持的软件，例如：
🌐 In September 2026, fewer than 0.0001% of connections to Supabase projects used these cipher suites. Clients that depend on them typically run end-of-life software, for example:
- 不支持的操作系统版本
- 不再接收更新的嵌入式设备，比如智能电视或机顶盒
- 使用过时 TLS 库构建的 HTTP 客户端或运行时
未受影响的连接 #
🌐 Unaffected connections
移除不会影响以下连接：
🌐 The removal doesn't affect the following connections:
- TLS 1.3 连接
- 来自至少支持 支持的密码套件 中列出的一个非 CBC 密码套件的客户端的 TLS 1.2 连接
- 直接的 Postgres 连接和通过连接池的连接
api.supabase.com的 管理 API
准备移除 #
🌐 Prepare for the removal
- 列出连接到你项目 API 的每个客户端，包括
<project_ref>.supabase.co上的和任何自定义域上的连接。包括实时连接、服务器、嵌入式设备以及第三方集成。 - 包括仍在使用的每个客户端版本，而不仅仅是最新版本。用户可能会继续在不再接收更新的操作系统上运行旧版本的移动或桌面应用。
- 对于每个客户端，检查它的操作系统、运行时和 TLS 库。请参阅 检查客户端是否受影响。
- 更新受影响的客户端。查看 更新受影响的客户端。
- 在你更新之后，先测试一下应用本身。在移除日期之前，项目的 API 仍然提供 CBC 模式的加密套件，所以现在请求成功并不意味着客户端在移除之后还能继续工作。
检查客户是否受到影响 #
🌐 Check whether a client is affected
检查你的应用实际使用的 TLS 配置：它的操作系统、运行时和 TLS 库版本，以及代码或配置中的任何 TLS 版本或密码套件设置。使用 TLS 1.3 连接的客户端不会受到影响，不管它支持哪些 TLS 1.2 的密码套件。
🌐 Check the TLS configuration your application actually uses: its operating system, runtime, and TLS library versions, and any TLS version or cipher suite settings in your code or configuration. A client that connects with TLS 1.3 isn't affected, whatever TLS 1.2 cipher suites it supports.
更新受影响的客户 #
🌐 Update affected clients
将受影响客户端的操作系统、运行时或 TLS 库更新到支持 TLS 1.3 或受支持的 TLS 1.2 加密套件的版本。对于无法更新的客户端的错误消息和解决方法，请参见 移除 CBC 模式加密套件后的 TLS 握手失败。
🌐 Update the affected client's operating system, runtime, or TLS library to a version that supports TLS 1.3 or a supported TLS 1.2 cipher suite. For error messages and workarounds for clients you can't update, see TLS handshake failures after removal of CBC-mode ciphers.
如果你在移除日期之前无法更新你的客户，请提交支持工单。
🌐 If you can't update your clients before the removal date, open a support ticket.