SEC_ERROR_OCSP_OLD_RESPONSE

• OCSP response содержит thisUpdate + nextUpdate timestamps (обычно 7 дней)
• nginx: ssl_stapling on + ssl_stapling_verify on + resolver 1.1.1.1 valid=300s
• Проверить: echo | openssl s_client -connect host:443 -status 2>/dev/null | grep -A10 "OCSP response"
• Must-Staple extension требует stapling — без него браузер отклонит соединение
• Firefox каждые 24 часа перепроверяет, если response устаревает

# Проверить OCSP stapling работает
$ echo | openssl s_client -connect host:443 -status 2>/dev/null | \
    grep -E "OCSP response|thisUpdate|nextUpdate"

# nginx config
ssl_stapling on;
ssl_stapling_verify on;
resolver 1.1.1.1 1.0.0.1 valid=300s;
resolver_timeout 5s;

# Force refresh OCSP cache — restart
$ systemctl reload nginx

• Setup OCSP stapling
• Must-Staple missing