Aller au contenu principal

Comment activer l’agrafage OCSP dans Apache et Nginx ?

Dans l’article « Qu’est-ce que l’agrafage OCSP », il a été mentionné que l’agrafage OCSP vise à améliorer les performances de la négociation SSL tout en préservant la confidentialité des visiteurs. Alors, comment activer le service d’agrafage OCSP ? Ce tutoriel explique comment activer l’agrafage OCSP sur les serveurs Apache et Nginx.

HowToSetIPSSL

Vérifier la version du serveur​

Veuillez vérifier la version de votre serveur avant de commencer. Seules les versions de serveur suivantes prennent en charge l’agrafage OCSP :

  • Apache HTTP Server version 2.3.3 et ultérieure
  • Nginx version 1.3.7 et ultérieure

Utilisez la commande suivante pour vérifier la version du serveur en cours d’exécution :

Apache：apache2 –v
Nginx：nginx -v

Configurer l’agrafage OCSP​

Configurer l’agrafage OCSP sur le serveur Apache

  1. Modifier le fichier de configuration de l’hôte virtuel SSL du site

Ajoutez les directives suivantes dans la ligne pour activer l’OCSP ;

SSLUseStapling on

Ajoutez la dénomination suivante en dehors de la ligne,

SSLStaplingCache shmcb:/tmp/stapling_cache(128000)

Par exemple :

SSLStaplingCache shmcb:/tmp/stapling_cache(128000)

SSLEngine on
SSLProtocol all -SSLv3 -SSLv2

SSLCertificateFile /path/to/your_domain_name.crt
SSLCertificateKeyFile /path/to/your_private.key
SSLCertificateChainFile /path/to/DigiCertCA.crt

SSLUseStapling on
  1. Exécutez la commande suivante pour vérifier que la configuration est correcte ;
Apachectl –t
  1. Rechargez le service Apache ;
service apache2 reload
  1. Une fois la configuration terminée, enregistrez, quittez et redémarrez Apache.

Configurer l'agrafage OCSP sur le serveur Nginx​

Pour activer l'agrafage OCSP sur Nginx, il faut d'abord déployer un certificat SSL et s'assurer qu'il est accessible normalement.

  1. Modifier le fichier de configuration SSL du site

Ajoutez la directive suivante dans la ligne « server ».

ssl_stapling on;
ssl_stapling_verify on;

Par exemple :

server

{
listen 443 ssl;
ssl_protocols TLSv1 TLSv1.1 TLSv1.2;

ssl_certificate /etc/ssl/bundle.crt;
ssl_certificate_key /etc/ssl/your_domain_name.key;

ssl_stapling on;
ssl_stapling_verify on;
}
  1. Exécutez la commande suivante pour vérifier si la configuration comporte des erreurs ;
nginx –t
  1. Une fois la configuration terminée, redémarrez Nginx.
systemctl restart nginx

Tester si l’OCSP Stapling est bien activé​

Cet article présente deux méthodes pour vérifier si l’OCSP Stapling est correctement activé.

Méthode 1 : utiliser la commande OpenSSL.​

Saisissez la commande suivante :

openssl.exe s_client -connect www.domainame.com:443 -status

Remplacez www.domainame.com par votre nom de domaine.

Si le site a activé avec succès l’OCSP Stapling, le message renvoyé contiendra : OCSP Response Status: successful (0x0)

Si aucune information n’est renvoyée après l’exécution, l’activation a échoué.

Méthode 2 : Utiliser un outil pour vérifier le nom de domaine du site​

Adresse de vérification : Détection de certificat SSL

Saisissez le nom de domaine, le port 443, cliquez pour lancer la détection. Dans les informations du certificat, si l’état de l’agrafage OCSP affiche : Pris en charge, cela signifie que l’activation a réussi. S’il affiche : Non pris en charge, cela signifie que l’activation a échoué.

Voici tout le contenu sur l’activation de l’OCSP Stapling dans Apache et Nginx. Si vous avez des questions lors de la configuration, n’hésitez pas à consulter le service client officiel, nous serons ravis de vous aider !

Dernière mise à jour le