Nginx 开启网站 OCSP stapling 配置 _生活百科

去年底更换了 AlphaSSL 泛域名证书，刚刚没事就在 SSL/TLS 安全评估报告网站上检查网站的SSL配置状态，意外发现 OCSP装订居然没有开启，怪不得谷歌站长核心网页指标的移动设备老是提示：LCP 问题：超过了 2.5 秒（移动设备），需要改进，那么就来重新开启一下吧！

文章插图
OCSP 是什么？OCSP 是在线证书状态协议（Online Certificate Status Protocol）的缩写，是一个用于获取 X.509 数字证书撤销状态的网际协议，用于检验证书合法性。
OCSP 查询需要建立一次完整的 HTTP 查询请求，期间的 DNS 查询、建立 TCP 连接、服务端响应和数据传输都是额外开销，使得建立 TLS 连接花费更多时长。
后来出现了 OCSP Stapling，将原本需要客户端实时发起的 OCSP 请求转嫁给服务端，Web 端将主动获取 OCSP 查询结果，并随证书一起发送给客户端，以此让客户端跳过自己去寻求验证的过程，提高 TLS 握手效率和 HTTPS 性能。
解决方法【Nginx 开启网站 OCSP stapling 配置】正常情况下在 Nginx 配置文件中增加 ssl_stapling on 和 ssl_stapling_verify on 即可开启 OCSP，但如果你使用阿里云申请的免费证书，那么就需要配置 ssl_trusted_certificate 才能开启。
Let\’s encrypt 免费签发的证书其 OCSP Response 不包含 Certificate 信息，因此 ssl_stapling_verify 和 ssl_trusted_certificate 无需设置，只需开启 ssl_stapling on 即可。
开启 OCSP 完整配置内容如下：
server{
….
#OCSPstapling配置
ssl_staplingon; #Let\’sencrypt无需配置
ssl_stapling_verifyon; #ssl证书配置
ssl_certificate/path/to/cert.pem;
ssl_certificate_key/path/to/key.pem; #国内部分免费证书需要配置
ssl_trusted_certificate/path/to/cert.pem; #证书校验域名dns服务器
resolver8.8.8.88.8.4.4216.146.35.35216.146.36.36valid=600s;
….
}修改完成后使用命令重启 Nginx，然后使用 OpenSSL 来验证 OCSP Stapling 是否已经成功开启，成功提示：OCSP Response Status: successful (0x0)，失败提示：OCSP Response: no response sent，如下图：
#重启Nginx
systemctlrestartnginx #验证OCSPStapling
openssls_client-connect域名:端口-servername域名-status-tlsextdebug&1|grep-i\”OCSPresponse\”
最后总结经过上述配置 OCSP Stapling，对于个人博客，企业网站，下载服务器使用 SSL加密证书推荐开启 OCSP 配置，用户访问网页时速度上会有非常轻微的提升，尤其对于做谷歌搜索排名优化的站点来说，这简直就是属于加分项。
另外就是如果你开启了全站CDN加速，那么目前已知阿里云、腾讯云、百度云的CDN服务均支持 OCSP装订功能，只需要勾选即可，无需另外配置。

Nginx 开启网站 OCSP stapling 配置

推荐阅读

快讯！每度累计降8分四川电价

黄酒的成分和配料黄酒有什么成分

抖音火山版怎么进入个人设置抖音火山版设置界面进入方法分享

怎样做泡菜又脆又好吃视频教程

2021广东文旅消费券怎么领 2021珠海消费券怎么用

苹果为什么会出现糖心

微信撩妹聊天软件下载

小羊吃饲料噎着怎么办小羊吃饲料噎着怎么办啊

啤酒冷冻后拿出来会不会爆炸

网络游戏公司起名适合游戏企业名用字

晒太阳减肥方法晒太阳减肥方法是什么

关于瑶岗简述瑶岗

螺丝粉是哪个城市，柳州螺蛳粉的柳州是哪里？

word下划线怎么去掉? 怎么去掉word中的横线，Word的下划线怎么去除？

抄组词和拼音

金门码头在什么位置脚的金门在什么位置

兔和牛合财吗属兔和属牛合财吗

第一次贩毒判多少时间

土豆泥怎么保存存放土豆泥的方法

2022年流年运程免费，免费流年运程测算2021