OCSP Stapling (de TLS Certificate Status Request extension) stelt een server in staat om een OCSP-antwoord van de certificaatautoriteit op te halen en in cache op te slaan, en het vervolgens ("staple") naar clients te sturen tijdens de TLS-handshake. Dit elimineert de noodzaak voor de client om een afzonderlijk verzoek in te dienen om de intrekkingsstatus van het certificaat te controleren.
Normaal gesproken zouden clients onafhankelijk de OCSP-responder bevragen om te verifiëren dat het certificaat niet is ingetrokken. Dit voegt latentie en externe afhankelijkheden toe. Met stapling voert de server de OCSP-controle eenmaal uit en bundelt het ondertekende antwoord met de certificaatketen, wat de handshake versnelt en een mogelijk punt van uitval verwijdert.
Hoe het werkt:
- Server vraagt periodiek een OCSP-antwoord op bij de CA (bijvoorbeeld elke paar dagen).
- Server slaat het antwoord in cache op en voegt het in de TLS-handshake in (
status_requestextension). - Client valideert het gecachete OCSP-antwoord tijdens de handshake—geen aparte zoekopdracht nodig.
- Als het antwoord verloopt, haalt de server een nieuw antwoord op bij de CA.
Voordelen:
- Snellere TLS-handshakes (geen blokkerend OCSP-verzoek).
- Verminderde belasting op OCSP-responders.
- Betere privacy—OCSP-verzoeken worden niet geregistreerd door de CA-server.
- Verbeterde betrouwbaarheid als de OCSP-responder tijdelijk niet beschikbaar is.
TipZorg ervoor dat uw server zodanig is geconfigureerd dat OCSP-antwoorden regelmatig worden vernieuwd (meestal elke 24–48 uur voor het verstrijken) om te voorkomen dat verouderde intrekkingsgegevens worden verzonden.
Stapling wordt nu veel ondersteund door moderne browsers en servers, en wordt beschouwd als een best practice voor HTTPS-implementaties.