OCSP Stapling Yapılandırması (Apache)

Apache'de OCSP stapling, sertifika iptal durumunun sunucu tarafından sorgulanıp el sıkışmada istemciye hazır sunulmasını sağlar. mod_ssl ile gelir; ayrı bir modül gerekmez, ancak önbellek tanımı zorunludur.

Ön koşullar

• Apache 2.4 ve mod_ssl etkin.
• Sertifikada OCSP (AIA) adresi bulunmalı.
• Sunucu, CA'nın OCSP adresine giden bağlantıya izin vermeli.
• Sertifika dosyasında tam zincir yer almalı.

Yapılandırma

SSLStaplingCache yönergesi sanal konak dışında, genel düzeyde tanımlanmalıdır:

SSLStaplingCache "shmcb:/var/run/apache2/stapling_cache(128000)"

<VirtualHost *:443>
    ServerName alanadi.com
    SSLEngine on
    SSLCertificateFile    /etc/ssl/alanadi-fullchain.pem
    SSLCertificateKeyFile /etc/ssl/alanadi.key

    SSLUseStapling on
    SSLStaplingResponderTimeout 5
    SSLStaplingReturnResponderErrors off
</VirtualHost>

Dosya yolu dağıtıma göre değişir; Debian/Ubuntu'da genellikle mods-available/ssl.conf içine genel önbellek satırı yazılır.

Uygulama ve test

1. Yapılandırmayı sınayın: apachectl configtest
2. Yeniden yükleyin: systemctl reload apache2 (veya httpd).
3. İstemciden doğrulayın:

openssl s_client -connect alanadi.com:443 -servername alanadi.com -status </dev/null 2>/dev/null | grep -A 3 "OCSP Response"

Apache yanıtı ilk istekte alır ve önbelleğe koyar; ilk denemede yanıt yoksa kısa süre sonra tekrar deneyin.

Sorun giderme

• ErrorLog içinde "stapling" ile ilgili satırlara bakın; LogLevel ssl:info ayrıntı verir.
• Önbellek yolu yazılabilir değilse Apache başlamayabilir.
• OCSP adresine çıkış kapalıysa yanıt alınamaz; güvenlik duvarını kontrol edin.

Özet: Genel düzeyde önbellek, sanal konakta SSLUseStapling on yeterlidir. Ayarlarınızı SSL Checker ile denetleyebilir, sertifika ihtiyacınız için SSL sertifikaları sayfamıza göz atabilirsiniz.