ERR_SSL_OCSP_INVALID_RESPONSE
ERR_SSL_OCSP_INVALID_RESPONSE — Chrome получил OCSP response, но он corrupted, expired (> 7 days), или signed неверным responder cert. Fix: отключить ssl_stapling_verify (если responder problematic), или обновить OCSP cache. CA outage — подождать.
Ниже: причины, исправление, FAQ.
Причины ошибки
- OCSP response expired — nextUpdate прошёл
- CA OCSP responder возвращает stale data
- Cache invalidation delay на CDN
- Wrong OCSP signer cert
- Clock skew на сервере (> 1 час)
Пошаговое исправление
- Проверьте system clock:
timedatectl status - Force OCSP refresh: reload nginx, wait 5 min
- Disable verify временно:
ssl_stapling_verify off; - Обновите chain:
ssl_trusted_certificateс свежим CA chain - Если CA outage — через час станет valid
Смежные SSL-ошибки
Почему нам доверяют
Как это работает
Введите домен
Проверка цепочки TLS
Дата истечения и уязвимости
Что проверяет SSL-тест?
SSL/TLS — протокол шифрования, который защищает данные между браузером и сервером. Наш инструмент анализирует сертификат, цепочку доверия, версию TLS и известныеуязвимости.
Детали сертификата
Издатель, срок действия, алгоритм подписи, покрываемые домены (SAN) и тип валидации (DV/OV/EV).
Цепочка доверия
Проверка полной цепочки: от конечного сертификата через промежуточные до корневого CA.
Анализ TLS
Версия протокола (TLS 1.2/1.3), набор шифров, поддержка Perfect Forward Secrecy (PFS).
Оповещения об истечении
Создайте монитор — получайте уведомления в Telegram и email за 30/14/7 дней до истечения.
DV vs OV vs EV сертификаты
- Подтверждение только владения доменом
- Выдаётся за минуты автоматически
- Бесплатно через Let's Encrypt
- Подходит для большинства сайтов
- Самый распространённый тип
- Проверка организации (OV) или расширенная проверка (EV)
- Выдаётся за 1-5 рабочих дней
- Стоимость от $50 до $500/год
- Для финансов, e-commerce, госсайтов
- Повышает доверие пользователей
Кому это нужно
DevOps
мониторинг SSL-сертификатов
Безопасность
аудит TLS-конфигурации
SEO
HTTPS как фактор ранжирования
E-commerce
доверие покупателей
Частые ошибки
www и поддомены.Лучшие практики
Strict-Transport-Security заставляет браузер всегда использовать HTTPS.Получите больше с бесплатным аккаунтом
Мониторинг SSL-сертификатов, история проверок и уведомления за 30 дней до истечения.
Зарегистрироваться (FREE)Больше по теме
Часто задаваемые вопросы
OCSP vs CRL?
OCSP — real-time status check, CRL — list revoked. OCSP быстрее (один cert), CRL — все revoked сразу. Modern — OCSP stapling.
Short-lived certs killing OCSP?
Let's Encrypt 90d, потом 6d (2026+). Cert короче чем CRL refresh — OCSP не нужен. Industry тренд.
Chrome отключает OCSP?
По умолчанию — да, с 2012 (too slow, privacy). Stapling работает, raw OCSP calls — нет.
Почему ошибка появилась?
Обычно single-client issue: stale local cache. Clear Chrome SSL state: chrome://net-internals/#hsts → Delete domain.