SEC_ERROR_OCSP_OLD_RESPONSE

• OCSP response содержит thisUpdate + nextUpdate timestamps (обычно 7 дней)
• nginx: ssl_stapling on + ssl_stapling_verify on + resolver 1.1.1.1 valid=300s
• Проверить: echo | openssl s_client -connect host:443 -status 2>/dev/null | grep -A10 "OCSP response"
• Must-Staple extension требует stapling — без него браузер отклонит соединение
• Firefox каждые 24 часа перепроверяет, если response устаревает

# Проверить OCSP stapling работает
$ echo | openssl s_client -connect host:443 -status 2>/dev/null | \
    grep -E "OCSP response|thisUpdate|nextUpdate"

# nginx config
ssl_stapling on;
ssl_stapling_verify on;
resolver 1.1.1.1 1.0.0.1 valid=300s;
resolver_timeout 5s;

# Force refresh OCSP cache — restart
$ systemctl reload nginx

• Setup OCSP stapling
• Must-Staple missing

Ошибка SEC_ERROR_OCSP_OLD_RESPONSE в браузере Firefox возникает, когда сервер возвращает устаревший ответ OCSP (Online Certificate Status Protocol) для проверки статуса SSL-сертификата. Это может произойти из-за того, что сертификат был отозван, и сервер не обновил информацию. Чтобы исправить эту ошибку, необходимо обновить сертификат или настроить сервер для корректного ответа на запросы OCSP.

Ошибка SEC_ERROR_OCSP_OLD_RESPONSE может возникнуть по нескольким причинам:

• Устаревший ответ OCSP: Сервер может предоставлять ответ OCSP, который был выдан более 4 дней назад, что делает его недействительным.
• Проблемы с конфигурацией сервера: Неправильные настройки на стороне сервера могут мешать корректной обработке запросов OCSP.
• Отсутствие поддержки OCSP: Некоторые старые версии SSL-сертификатов могут не поддерживать OCSP, что также приводит к этой ошибке.

Для решения проблемы важно понимать, как работает OCSP. Когда браузер запрашивает статус сертификата, сервер должен предоставить актуальную информацию. В случае устаревшего ответа браузер блокирует доступ к сайту, чтобы защитить пользователя от потенциальных угроз.

Для исправления ошибки SEC_ERROR_OCSP_OLD_RESPONSE выполните следующие шаги:

1. Проверьте дату выдачи сертификата: Убедитесь, что сертификат не истек и что он был выдан недавно. Используйте команду openssl x509 -in ваш_сертификат.crt -text -noout для проверки деталей сертификата.
2. Обновите ответ OCSP: Если сервер использует устаревший ответ, обновите его, выполнив команду certutil -urlfetch -L ваш_сертификат.crt на сервере.
3. Настройте сервер для корректной работы с OCSP: Убедитесь, что ваш сервер настроен правильно для обработки запросов OCSP. Например, для Apache добавьте следующие строки в конфигурационный файл:

SSLUseStapling On
SSLStaplingCache "shmcb:/tmp/stapling-cache(128000)"

Эти настройки помогут вашему серверу кэшировать ответы OCSP и обновлять их по мере необходимости.

После внесения изменений проверьте статус сертификата снова, используя команду curl -v https://ваш_домен. Если всё настроено правильно, ошибка должна исчезнуть.