Let’s Encrypt отключил свой OCSP-сервис 6 августа 2025 года. Для актуальных сертификатов проверяйте их поля и поведение вашего TLS-терминатора; отсутствие OCSP stapling само по себе не означает, что сертификат отозван или HTTPS сломан. Устаревшую настройку stapling можно убрать после проверки того, какие сертификаты реально обслуживает сервер.
OCSP позволял клиенту спрашивать о статусе сертификата, а stapling — серверу заранее прикладывать подписанный ответ к TLS-рукопожатию. Let’s Encrypt сообщил о завершении сервиса 6 августа 2025 года и ранее описал план отказа. Вывод для администратора зависит от предъявляемого сертификата и клиента. Не переносите старую инструкцию «всегда включите ssl_stapling» на каждый новый сертификат.
Разделите три разные проверки
| Вопрос | Команда или источник | Как трактовать |
|---|---|---|
| Какой сертификат видит клиент? | openssl s_client -servername | CDN может показывать не тот сертификат, что стоит на origin |
| Есть ли OCSP URL в сертификате? | openssl x509 -text, поле AIA | Отсутствие URL делает запрос к OCSP неуместным |
| Приложен ли stapled-ответ? | openssl s_client -status | «No response sent» не равнозначно revocation |
Проверяйте и внешний домен, и origin отдельно, если TLS заканчивается на CDN. Для хоста с несколькими сертификатами обязательно передавайте SNI. В нашем руководстве по s_client показаны параметры рукопожатия и проверки имени.
Проверка сертификата и stapling по шагам
openssl s_client -connect example.com:443 -servername example.com -status </dev/null 2>&1 | sed -n '/OCSP response:/,/Certificate chain/p'
openssl s_client -connect example.com:443 -servername example.com -showcerts </dev/null 2>/dev/null | openssl x509 -noout -text | sed -n '/Authority Information Access/,+8p'
# Проверьте ещё issuer, срок и SAN по полному выводу сертификата.Первая команда демонстрирует, отправил ли сервер stapled-ответ в этом соединении; вторая проверяет поле AIA предъявленного leaf-сертификата. Конвейер берёт первый сертификат из вывода s_client; на нестандартном сервере проверьте порядок вручную. Следите также за сроком, именем и цепочкой через SSL-проверку enterno. Отзыв и истечение срока — разные состояния.
У nginx директива ssl_stapling on; описана в модуле SSL. Если сервер больше не обслуживает сертификаты с OCSP URL, настройка может выдавать предупреждение о невозможности найти responder. Удаляйте её только после инвентаризации всех виртуальных хостов: рядом могут остаться сертификаты другого CA. Затем nginx -t, reload и внешняя проверка сертификата. Не меняйте ssl_verify_client и правила доверия клиентов: это другой механизм.
Что могло измениться для пользователя
Обычный браузер не обязан получать stapled OCSP от каждого сертификата для успешной проверки HTTPS. Но корпоративный клиент или собственная политика проверки может иначе обрабатывать отсутствие ответа; такой клиент нужно тестировать отдельно. Не утверждайте, что все соединения после даты отключения автоматически безопасны или что все они будут отклонены. Фактический результат виден только при проверке конкретного клиента, сертификата и цепочки. Если ошибка выглядит как curl (60), разберите её по справочнику curl, прежде чем обвинять OCSP.
Что показал текущий публичный адрес enterno.io
При проверке 13 ноября 2026 года внешний TLS-узел предъявил сертификат с CN=enterno.io, выданный Let’s Encrypt YR2. OpenSSL сообщил об отсутствии приложенного OCSP-ответа и при этом успешно построил доверенную цепочку:
OCSP response: no response sent
subject=CN=enterno.io
issuer=C=US, O=Let's Encrypt, CN=YR2
Protocol: TLSv1.3
Verify return code: 0 (ok)Это один снимок внешнего адреса, не тест всех клиентов и не проверка origin. Он показывает, почему строку no response sent нельзя сама по себе считать ошибкой доверия. Команда и выборка вывода сохранены в data.json.
Как сделан материал
Дата и причины изменения взяты из публикаций Let’s Encrypt; синтаксис проверок — из OpenSSL и nginx. У нас нет сохранённой выборки сайтов «до и после» 6 августа 2025 года, поэтому статья не заявляет сравнительных измерений или доли сломавшихся сайтов. SerpAPI и Wordstat использованы лишь для формулировок запросов; точная фраза в Wordstat не вернула оценку, широкая ocsp lets encrypt — 1 в регионе 225.
Частые вопросы
«OCSP response: no response sent» означает отзыв?
Нет. Это сообщает лишь, что сервер не приложил ответ в данном рукопожатии.
Нужно ли выключать stapling на всех серверах?
Сначала перечислите все сертификаты и их CA. Другие сертификаты могут по-прежнему использовать OCSP.
Нужно ли срочно перевыпускать сертификат?
Само отключение OCSP-сервиса не требует перевыпуска. Проверяйте срок, имя, цепочку и требования клиентов.
Почему CDN и origin показывают разный результат?
Они могут завершать TLS отдельно и использовать разные сертификаты. Проверяйте оба узла по отдельности.
