O OCSP stapling permite que o CDN ou DCDN armazene proativamente em cache os resultados de validação de certificados online e os entregue aos clientes. Isso elimina a necessidade de os clientes consultarem diretamente uma autoridade certificadora (CA) para verificar o status do certificado, reduzindo o tempo de validação e melhorando a velocidade de acesso dos usuários.
Como funciona
Uma autoridade certificadora (CA) fornece o Online Certificate Status Protocol (OCSP), que permite ao cliente verificar a validade e o status de revogação de um certificado digital em tempo real.
Sem o OCSP stapling, o cliente consulta a CA a cada handshake TLS para confirmar que o certificado não foi revogado. Consultas OCSP frequentes reduzem a eficiência do handshake TLS e podem prejudicar a velocidade de acesso dos usuários.
Após ativar o recurso OCSP Stapling, o servidor CDNDCDN passa a gerenciar as consultas OCSP. O servidor CDNDCDN realiza consultas com menor frequência e armazena os resultados em cache (duração padrão: 60 minutos). Quando um cliente inicia uma solicitação de handshake TLS, o servidor CDNDCDN envia as informações OCSP do certificado junto com o próprio certificado, eliminando a necessidade de enviar uma solicitação de consulta à CA. Isso melhora significativamente a eficiência do handshake TLS e reduz o tempo de validação do certificado.
O OCSP stapling está desativado por padrão.
A duração padrão do cache para uma resposta OCSP é de 60 minutos. Quando o cache expira, o OCSP stapling não se aplica à primeira solicitação. O recurso é retomado após o servidor obter uma nova resposta OCSP.
É possível ativar ou desativar o OCSP stapling para domínios que utilizam HTTPS. Remover a configuração do certificado HTTPS de um domínio desativa automaticamente o OCSP stapling para esse domínio.
Uma resposta OCSP é assinada digitalmente pela CA e não pode ser falsificada, portanto não introduz riscos de segurança adicionais.
Pré-requisitos
Antes de começar, verifique se os seguintes requisitos são atendidos:
Configure um certificado HTTPS para o seu nome de domínio. Para mais informações, consulte Configure an HTTPS certificate.
O cliente deve oferecer suporte à extensão OCSP.
Procedimento
Faça login no CDN console.
No painel de navegação à esquerda, clique em Domain Names.
Na página Domain Names, localize o nome de domínio desejado e clique em Manage na coluna Actions.
No painel de navegação do domínio, clique em HTTPS.
Na seção OCSP Stapling, ative ou desative o OCSP Stapling.