密码技术这个词听着遥远，其实您的系统每天都在用它：登录时的口令校验、下单时的HTTPS通道、支付时的签名，背后都是密码技术在干活。【测评师核查密码应用时，通常只问三个问题，这篇把答案提前给您备好】。
【问题一：传输加密用的什么？】标准答案：全站启用HTTPS（TLS协议），管理后台、APP接口、小程序后端、H5页面一个不落；【扣分答案】：部分页面还是HTTP、证书过期没人管、还在用早已不安全的老协议。检查方法很简单——浏览器地址栏点开看证书有效期，再把主要页面挨个过一遍，HTTP的一眼就能看出来。还有一种隐蔽情况：【对外是HTTPS，内部服务之间却是HTTP明文互调】——微服务架构里最常见，测评时内部通道也会被问到。
【问题二：存储加密用的什么？】标准做法：敏感字段（密码、手机号、证件号）落库前加密或哈希；【密码必须不可逆存储】——哈希加盐是行业共识，明文存密码属于高风险问题。扣分答案：数据库里密码字段直接是明文，这类问题一旦被扫出，很被动。自查方法也直白：让运维导一张用户表，看看密码字段长什么样——是乱码还是"123456"，一分钟出顺便说一句，【数据库备份文件里的敏感字段同样是密文才算达标】，不少团队主库加密了，备份文件却是明文躺在服务器上。
【问题三：密钥怎么管的？】这是三者里最容易翻车的：【密钥硬编码在代码里】、和密文放同一台服务器、所有人共享一个密钥、密钥三年没换过——都是典型扣分场景。合格做法：密钥与数据分离存放、定期更换、按用途区分（登录加密和支付签名用不同的密钥）、用配置中心或密钥管理服务托管。测评师问"密钥放哪"时，答得出存放位置、管理人和更换周期，这题就过了。
给负责人的判断口诀：【传输有锁（TLS）、存储有柜（加密）、钥匙有人管（密钥管理）】，三样齐了，密码技术这块就稳了。
提醒：三级系统还涉及商用密码应用的要求，测评时可能追问算法合规性——用的是不是国密算法或批准的算法套件。【改造时一步到位用合规算法】，避免二次施工。如果您的系统涉及金融、政务类业务，密码应用的要求还会更高，规划阶段就要考虑进去。再给自查一个抓手：让开发把"哪些地方用了加密、用的什么算法、密钥放哪"列成一页清单，对着清单过一遍，半小时就能摸清家底——【密码技术的问题多数不是"没做"，而是"做了没管"】。
有系统不知道怎么自查？发个架构图过来帮您看看。河南早办科技有限公司提供密码应用整改指导，服务全国客户。密码技术用对了地方，测评问答不慌。