OCSP Stapling Yapılandırması (Nginx)

OCSP stapling, sunucunun sertifikasının iptal durumunu CA'dan kendisi sorgulayıp imzalı yanıtı TLS el sıkışmasına eklemesidir. Tarayıcının ayrıca CA'nın OCSP sunucusuna bağlanmasına gerek kalmaz; bu hem gizliliği hem hızı iyileştirir.

Ön koşullar

• Sertifikanızda bir OCSP adresi (Authority Information Access) bulunmalı. Bulunmuyorsa stapling yapılamaz.
• Sunucunun CA'nın OCSP adresine çıkış yapabilmesi gerekir.
• Nginx'in DNS çözümlemesi için resolver tanımlı olmalı.
• Zincir dosyası (ara sertifikalar) sunucuda hazır olmalı.

Nginx yapılandırması

server {
    listen 443 ssl;
    server_name alanadi.com;

    ssl_certificate         /etc/ssl/alanadi-fullchain.pem;
    ssl_certificate_key     /etc/ssl/alanadi.key;

    ssl_stapling on;
    ssl_stapling_verify on;
    ssl_trusted_certificate /etc/ssl/alanadi-chain.pem;
    resolver 1.1.1.1 8.8.8.8 valid=300s;
    resolver_timeout 5s;
}

ssl_trusted_certificate, OCSP yanıtını doğrulamak için gerekli ara ve kök sertifikaları içerir.

Doğrulama

nginx -t && nginx -s reload
openssl s_client -connect alanadi.com:443 -servername alanadi.com -status </dev/null 2>/dev/null | grep -A 4 "OCSP Response"

"OCSP Response Status: successful" görmelisiniz. Nginx yanıtı ilk istekte tembel biçimde alır; bu yüzden reload sonrasında ilk denemede yanıt görünmeyebilir, birkaç saniye sonra yeniden deneyin.

Sık sorunlar

• Günlükte "OCSP responder timed out": güvenlik duvarı çıkışı veya resolver sorunu.
• "no issuer certificate": ssl_trusted_certificate eksik ya da yanlış zincir.
• Must-Staple sertifikalarda yanıt yoksa tarayıcı bağlantıyı reddedebilir; bu yüzden etkinleştirdikten sonra izleyin.

Sonucu SSL Checker ile kontrol edin. Doğru zincirle birlikte sertifika almak için SSL sertifikaları sayfamıza bakabilirsiniz.