根证书与网络安全
IM 服务使用 HTTPS/WSS 与客户端通信。私有化部署时建议使用自有 CA 或公有 CA 签发的证书，并建立证书轮换流程。
传输安全
- 强制 TLS 1.2+，推荐 TLS 1.3；
- WebSocket 使用
wss://，禁止明文ws://暴露到公网； - Open API 仅通过 HTTPS 暴露，签名头防止重放。
根证书更新流程
- 签发新证书
使用企业 CA 或公有 CA 为 IM 域名签发新证书，保留旧证书可用。
- 下发 CA 证书
将 CA 证书加入服务端信任链与客户端信任库（移动端可内置或使用系统信任）。
- 灰度切换
先切换测试环境，再按域名灰度生产；观察 TLS 握手失败率。
- 下线旧证书
确认无客户端使用旧证书后下线，并保留 30 天回滚窗口。
证书固定（Pinning）
移动端可选择对 IM 域名做证书/公钥固定；升级证书时需同步更新客户端配置，建议保留备用指纹。
Token 安全
- Token 由业务服务签发，短有效期 + 刷新机制；
- AppSecret 不下发客户端；
- 泄露时吊销 Token 并要求重新登录。