OCSP Response Invalid Hatası

OCSP stapling, sunucunun sertifikasının güncel iptal durumunu CA'dan alıp TLS el sıkışmasında istemciye iletmesidir. Sunucunun elindeki yanıt süresi dolmuş, bozuk ya da imzası doğrulanamıyorsa tarayıcılar ve istemciler "OCSP yanıtı geçersiz" benzeri uyarılar verebilir; Must-Staple işaretli sertifikalarda bu doğrudan bağlantı hatasına yol açar.

Belirtiler

• Nginx hata günlüğünde OCSP_basic_verify() failed veya no issuer certificate found benzeri satırlar.
• openssl s_client -status çıktısında OCSP response: no response sent.
• Sertifikada Must-Staple varsa ve yanıt yoksa, Firefox gibi istemcilerde bağlantı hatası.

Test

openssl s_client -connect alanadi.com:443 -servername alanadi.com -status < /dev/null

Çıktıda OCSP Response Status: successful ve Cert Status: good görmelisiniz. Hemen sonra This Update / Next Update alanlarıyla yanıtın taze olduğunu doğrulayın. Nginx ilk istekte yanıtı hemen getirmeyebilir; birkaç istekten sonra tekrar deneyin.

Nginx yapılandırması

ssl_stapling on;
ssl_stapling_verify on;
ssl_trusted_certificate /etc/ssl/ara-ve-kok.crt;
resolver 1.1.1.1 8.8.8.8 valid=300s;

ssl_trusted_certificate dosyası, doğrulama için ara ve kök sertifikaları içermelidir. Sunucunun OCSP yanıtlayıcısına dışarıya (çoğu zaman 80. porta) erişebilmesi gerekir; güvenlik duvarını kontrol edin.

Apache yapılandırması

SSLUseStapling on
SSLStaplingCache "shmcb:logs/ssl_stapling(32768)"

Ön belleğin tanımı sanal sunucu dışında, genel yapılandırmada yer almalıdır.

Çözüm özeti

1. Zincirin eksiksiz olduğundan emin olun.
2. Sunucudan CA'nın OCSP adresine erişimi açın ve DNS çözümlemesini doğrulayın.
3. Gerekirse stapling'i geçici olarak kapatıp sorunu ayırt edin.
4. Yapılandırmayı yeniden yükleyin ve SSL kontrol aracıyla yeniden test edin.

Sertifika yenilediyseniz eski yanıtların önbelleğinin temizlendiğini doğrulayın. Takıldığınız noktada SSL sorun giderici işinize yarayabilir.