Nginx 开启网站 OCSP stapling 配置 _生活百科

去年底更换了 AlphaSSL 泛域名证书，刚刚没事就在 SSL/TLS 安全评估报告网站上检查网站的SSL配置状态，意外发现 OCSP装订居然没有开启，怪不得谷歌站长核心网页指标的移动设备老是提示：LCP 问题：超过了 2.5 秒（移动设备），需要改进，那么就来重新开启一下吧！

文章插图
OCSP 是什么？OCSP 是在线证书状态协议（Online Certificate Status Protocol）的缩写，是一个用于获取 X.509 数字证书撤销状态的网际协议，用于检验证书合法性。
OCSP 查询需要建立一次完整的 HTTP 查询请求，期间的 DNS 查询、建立 TCP 连接、服务端响应和数据传输都是额外开销，使得建立 TLS 连接花费更多时长。
后来出现了 OCSP Stapling，将原本需要客户端实时发起的 OCSP 请求转嫁给服务端，Web 端将主动获取 OCSP 查询结果，并随证书一起发送给客户端，以此让客户端跳过自己去寻求验证的过程，提高 TLS 握手效率和 HTTPS 性能。
解决方法【Nginx 开启网站 OCSP stapling 配置】正常情况下在 Nginx 配置文件中增加 ssl_stapling on 和 ssl_stapling_verify on 即可开启 OCSP，但如果你使用阿里云申请的免费证书，那么就需要配置 ssl_trusted_certificate 才能开启。
Let\’s encrypt 免费签发的证书其 OCSP Response 不包含 Certificate 信息，因此 ssl_stapling_verify 和 ssl_trusted_certificate 无需设置，只需开启 ssl_stapling on 即可。
开启 OCSP 完整配置内容如下：
server{
….
#OCSPstapling配置
ssl_staplingon; #Let\’sencrypt无需配置
ssl_stapling_verifyon; #ssl证书配置
ssl_certificate/path/to/cert.pem;
ssl_certificate_key/path/to/key.pem; #国内部分免费证书需要配置
ssl_trusted_certificate/path/to/cert.pem; #证书校验域名dns服务器
resolver8.8.8.88.8.4.4216.146.35.35216.146.36.36valid=600s;
….
}修改完成后使用命令重启 Nginx，然后使用 OpenSSL 来验证 OCSP Stapling 是否已经成功开启，成功提示：OCSP Response Status: successful (0x0)，失败提示：OCSP Response: no response sent，如下图：
#重启Nginx
systemctlrestartnginx #验证OCSPStapling
openssls_client-connect域名:端口-servername域名-status-tlsextdebug&1|grep-i\”OCSPresponse\”
最后总结经过上述配置 OCSP Stapling，对于个人博客，企业网站，下载服务器使用 SSL加密证书推荐开启 OCSP 配置，用户访问网页时速度上会有非常轻微的提升，尤其对于做谷歌搜索排名优化的站点来说，这简直就是属于加分项。
另外就是如果你开启了全站CDN加速，那么目前已知阿里云、腾讯云、百度云的CDN服务均支持 OCSP装订功能，只需要勾选即可，无需另外配置。

Nginx 开启网站 OCSP stapling 配置

推荐阅读

昆明机场离哪个高铁站近，昆明飞机场到高铁站有多远？

关于特别认真地生活简述特别认真地生活

关于淮北公交简述淮北公交

强势老人是家庭的灾难【老人强势发生家庭矛盾】

糖尿病人适合送的礼品女总裁给男秘书送粥

“魑魅魍魉” 你们知道怎么读吗？魑魅魍魉怎么读

父母买房可以写未成年孩子的名字吗,规避转让税但不能贷款

孕妇铅过高有什么症状有什么不良影响

办银行卡需要什么办银行卡需要什么证件和材料

饭圈拉瓜是什么意思饭圈拉郎是什么意思

柠檬片的功能与功效柠檬片的功效作用

大红袍分几种肉桂

终不似少年游终不似少年游

熟黄芪泡水喝的功效与作用熟黄芪泡水喝有哪些功效与作用

山药圆子怎么做才好吃，肉末山药圆子的做法？

不倒翁小鸟的制作教程

毓字取名女孩有寓意属兔最搭的名字有哪些？

防弹咖啡怎么做好喝防弹咖啡怎么做

excel查找不出来是什么原因

今年广东调整养老金的新消息 2022广东省养老金上调方案及补发时间