Стейплинг OCSP

Проверка отзыва это отдельный запрос к центру. Стейплинг переносит ответ в рукопожатие, чтобы клиенту не приходилось ходить наружу.

Зачем это нужно

Без стейплинга клиент сам спрашивает центр сертификации, не отозван ли сертификат. Это лишняя задержка и утечка: центр видит, какие сайты открывает клиент.

Со стейплингом сервер заранее получает подписанный ответ и отдаёт его вместе с сертификатом. В nginx для этого нужны сама опция, проверка ответа, файл с цепочкой для проверки и рабочий резолвер.

ssl_stapling on;
ssl_stapling_verify on;
ssl_trusted_certificate /etc/nginx/ssl/example/chain.pem;
resolver 8.8.8.8 1.1.1.1 valid=300s;

Как проверить

openssl s_client -connect example.com:443 -servername example.com -status

В выводе ищем статус ответа. Если его нет, но ошибок тоже нет, чаще всего виноват резолвер: без него nginx не может обновлять ответ и просто молчит.

Что обычно ломается

Адрес OCSP у центра иногда меняется, а ответ живёт ограниченное время. Если после обновления конфигурации стейплинг пропал, проверяем сами адреса и то, что nginx перечитал файл с цепочкой. Отдельно стоит помнить: стейплинг и проверка цепочки это разные вещи, падать могут независимо друг от друга.