Что такое OCSP и OCSP Stapling
OCSP (Online Certificate Status Protocol) — протокол проверки, не отозван ли SSL-сертификат. Без OCSP Stapling браузер сам делает запрос к OCSP-серверу CA — это +100-300ms на каждое новое TLS-соединение и утечка URL-ов в CA. OCSP Stapling: сервер заранее получает ответ OCSP и "прикрепляет" его к TLS handshake. Быстрее и приватнее.
Ниже: подробности, пример, смежные термины, FAQ.
Подробности
- Без Stapling: клиент → OCSP responder (CA) → 200 OK или revoked
- С Stapling: сервер периодически запрашивает OCSP → кэширует ответ → включает в TLS handshake
- Stapling работает даже когда OCSP responder CA временно недоступен
- Must-Staple флаг в сертификате — требует Stapling, запрещает fallback к прямому OCSP
- nginx:
ssl_stapling on; ssl_stapling_verify on;
Пример
ssl_stapling on;
ssl_stapling_verify on;
ssl_trusted_certificate /path/chain.pem;
resolver 1.1.1.1 valid=60s;Смежные термины
Почему нам доверяют
Как это работает
Введите домен
Проверка цепочки TLS
Дата истечения и уязвимости
Что проверяет SSL-тест?
SSL/TLS — протокол шифрования, который защищает данные между браузером и сервером. Наш инструмент анализирует сертификат, цепочку доверия, версию TLS и известныеуязвимости.
Детали сертификата
Издатель, срок действия, алгоритм подписи, покрываемые домены (SAN) и тип валидации (DV/OV/EV).
Цепочка доверия
Проверка полной цепочки: от конечного сертификата через промежуточные до корневого CA.
Анализ TLS
Версия протокола (TLS 1.2/1.3), набор шифров, поддержка Perfect Forward Secrecy (PFS).
Оповещения об истечении
Создайте монитор — получайте уведомления в Telegram и email за 30/14/7 дней до истечения.
DV vs OV vs EV сертификаты
- Подтверждение только владения доменом
- Выдаётся за минуты автоматически
- Бесплатно через Let's Encrypt
- Подходит для большинства сайтов
- Самый распространённый тип
- Проверка организации (OV) или расширенная проверка (EV)
- Выдаётся за 1-5 рабочих дней
- Стоимость от $50 до $500/год
- Для финансов, e-commerce, госсайтов
- Повышает доверие пользователей
Кому это нужно
DevOps
мониторинг SSL-сертификатов
Безопасность
аудит TLS-конфигурации
SEO
HTTPS как фактор ранжирования
E-commerce
доверие покупателей
Частые ошибки
www и поддомены.Лучшие практики
Strict-Transport-Security заставляет браузер всегда использовать HTTPS.Получите больше с бесплатным аккаунтом
Мониторинг SSL-сертификатов, история проверок и уведомления за 30 дней до истечения.
Зарегистрироваться (FREE)Больше по теме
Гайды
Исследования
Часто задаваемые вопросы
Обязательно ли включать OCSP Stapling?
Не технически, но strongly recommended. Ускорение +100-300ms и защита приватности пользователей.
Работает с Let's Encrypt?
Да, полностью. Let's Encrypt выдаёт OCSP responses через их OCSP responder ocsp.int-x3.letsencrypt.org.
Что такое CRL и чем отличается?
CRL (Certificate Revocation List) — список всех отозванных сертификатов CA. OCSP запрашивает статус одного сертификата — быстрее и легче.