OCSP stapling permite que CDN o DCDN almacene en caché de forma proactiva los resultados de validación de certificados en línea y los entregue a los clientes. Así se evita que los clientes consulten directamente a una autoridad certificadora (CA) el estado del certificado, lo cual reduce el tiempo de validación y mejora la velocidad de acceso de los usuarios.
Cómo funciona
Una autoridad certificadora (CA) proporciona el protocolo de estado de certificados en línea (OCSP). Este protocolo permite que un cliente compruebe en tiempo real la validez y el estado de revocación de un certificado digital.
Sin OCSP stapling, el cliente consulta a la CA durante cada negociación de TLS para comprobar que el certificado no se haya revocado. Las consultas frecuentes a OCSP reducen la eficiencia de la negociación de TLS y pueden ralentizar el acceso de los usuarios.
Cuando habilite la función OCSP Stapling, el servidor de CDNDCDN se encarga de las consultas OCSP. El servidor de CDNDCDN realiza consultas con poca frecuencia y almacena los resultados en la caché del servidor (duración predeterminada de la caché: 60 minutos). Cuando un cliente inicia una solicitud de negociación de TLS, el servidor de CDNDCDN envía al cliente la información OCSP junto con el certificado. De este modo, ya no es necesario enviar una solicitud de consulta a la CA. Esta práctica mejora notablemente la eficiencia de la negociación de TLS y ahorra tiempo en la validación del certificado.
OCSP stapling está deshabilitado de forma predeterminada.
La duración predeterminada de la caché para una respuesta OCSP es de 60 minutos. Cuando la caché expira, OCSP stapling no se aplica a la primera solicitud. La función se reanuda después de que el servidor obtiene una nueva respuesta OCSP.
Habilite o deshabilite OCSP stapling en los dominios que usan HTTPS. Si elimina la configuración del certificado HTTPS de un dominio, OCSP stapling se deshabilita automáticamente para ese dominio.
La CA firma digitalmente cada respuesta OCSP, por lo que no se puede falsificar ni introduce riesgos de seguridad adicionales.
Requisitos previos
Antes de empezar, asegúrese de cumplir con a continuación requisitos:
Configuró un certificado HTTPS para su nombre de dominio. Para obtener más información, consulte Configure an HTTPS certificate.
El cliente debe ser compatible con la extensión OCSP.
Procedimiento
Inicie sesión en la consola de CDN.
En el panel de navegación izquierdo, haga clic en Domain Names.
En la página Domain Names, busque el nombre de dominio de destino y haga clic en Manage dentro de la columna Actions.
En el panel de navegación del dominio, haga clic en HTTPS.
En la sección OCSP Stapling, active o desactive OCSP Stapling.