L’agrafage OCSP permet à CDN ou DCDN de mettre proactivement en cache les résultats de validation des certificats en ligne et de les transmettre aux clients. Les clients n’ont plus besoin d’interroger directement une autorité de certification (CA) pour vérifier le statut du certificat, ce qui réduit le temps de validation et améliore la vitesse d’accès des utilisateurs.
Fonctionnement
Une autorité de certification (CA) fournit le protocole Online Certificate Status Protocol (OCSP), qui permet à un client de vérifier en temps réel la validité et le statut de révocation d’un certificat numérique.
Sans agrafage OCSP, un client interroge l’autorité de certification lors de chaque handshake TLS pour s’assurer que le certificat n’a pas été révoqué. Des requêtes OCSP fréquentes réduisent l’efficacité du handshake TLS et peuvent ralentir l’accès des utilisateurs.
Une fois la fonctionnalité OCSP Stapling activée, le serveur CDNDCDN gère les requêtes OCSP. Le serveur CDNDCDN effectue des requêtes peu fréquentes et met les résultats en cache sur le serveur (durée de mise en cache par défaut : 60 minutes). Lorsqu’un client initie un handshake TLS, le serveur CDNDCDN envoie au client les informations OCSP du certificat ainsi que le certificat lui-même, ce qui évite d’envoyer une requête à l’autorité de certification. Cela améliore considérablement l’efficacité du handshake TLS et réduit le temps de validation du certificat.
L’agrafage OCSP est désactivé par défaut.
La durée de mise en cache par défaut d’une réponse OCSP est de 60 minutes. Lorsque le cache expire, l’agrafage OCSP ne s’applique pas à la première requête. La fonctionnalité reprend après que le serveur a récupéré une nouvelle réponse OCSP.
Vous pouvez activer ou désactiver l’agrafage OCSP pour les domaines utilisant HTTPS. La suppression de la configuration du certificat HTTPS d’un domaine désactive automatiquement l’agrafage OCSP pour ce domaine.
Une réponse OCSP est signée numériquement par l’autorité de certification et ne peut pas être falsifiée ; elle n’introduit donc aucun risque de sécurité supplémentaire.
Prérequis
Avant de commencer, assurez-vous de remplir les conditions suivantes :
Vous avez configuré un certificat HTTPS pour votre nom de domaine. Pour plus d’informations, consultez la rubrique Configurer un certificat HTTPS.
Le client doit prendre en charge l’extension OCSP.
Procédure
Connectez-vous à la console CDN.
Dans le volet de navigation de gauche, cliquez sur Domain Names.
Sur la page Domain Names, localisez le nom de domaine cible et cliquez sur Manage dans la colonne Actions.
Dans le volet de navigation du domaine, cliquez sur HTTPS.
Dans la section OCSP Stapling, activez ou désactivez l’option OCSP Stapling.