我们有一个可以在互联网上访问的网站。但我们只希望合作伙伴能够访问我们的网站，因此我们为合作伙伴生成了自签名服务器证书和由我们自签名证书签名的证书。合作伙伴在访问我们的网站时需要提供证书。
也就是说，我们的网站使用客户端证书验证。理论上，没有我们颁发的证书的人都无法访问我们的网站，甚至看不到登录页面或其他内容。这是第一道安全防线。（其他的则是另一回事）
这足以阻止对我们网站的不必要访问吗？
答案1
我想详细介绍一下client certificates基于博客的这篇文章什么是客户端证书认证？。
- 我们有一个可以在互联网上访问的网站。但我们只希望我们的合作伙伴访问我们的网站，所以我们为我们的合作伙伴生成一个自签名的服务器证书和由我们自生成的证书签名的证书。当访问我们的网站时，合作伙伴需要提供证书。
如果您已正确配置 Web 服务器以从客户端的访问应用程序（浏览器等）请求客户端证书，这将阻止未经授权的访问。
作为反馈，我希望您访问以下链接：自签名 SSL 证书有哪些风险。如果您可以从根 CA 获取服务器证书，那么这是明智的做法。但是，这取决于您。
引用上面列出的博客：
如果服务器启用了客户端证书身份验证，则只有尝试从加载了正确客户端证书的客户端进行连接的用户才能成功。即使合法用户尝试使用正确的用户名和密码进行连接，如果该用户不在加载了正确客户端证书的客户端应用程序上，该用户将无法获得访问权限。事实上，如果该用户从 Web 浏览器进行连接，则登录页面（他应该在此输入用户名和密码）可能根本不会加载，如下所示。
此外，我建议您加入更多身份验证因素，以最大程度地降低安全漏洞的可能性。您没有提到有关您网站的详细信息。
- 这足以阻止对我们网站的不必要访问吗？
是的，它应该可以防止不必要的访问。但是，您已经知道，安全方面没有灵丹妙药。
您不仅应该从 Web 应用程序的角度来考虑，还应该从您管理的基础设施的角度来考虑。还有其他一些威胁，如 DoS 等，需要处理。无论如何，这完全是另一回事，人们已经就这个话题写了书。
希望对您有所帮助。感谢您提出这个问题。
答案2
是的，如果客户端证书存储在安全的位置，它是安全的。您也可以在客户端证书认证后在网站上添加认证方案。
举个例子，一些敏感的医疗网站使用相同的技巧来保护他们的网站，但他们以更安全的方式为每个用户提供证书，即在受密码保护的智能卡（如 gemalto）上。
如您所见，这种身份验证方法的安全性与远程对等方保护证书的位置相关。