Apache通过mod_ssl启用OCSP装订可提升HTTPS性能与隐私性；需满足Apache≥2.3.3、OpenSSL≥1.0.1、CA支持OCSP且网络可达；配置SSLUseStapling on等指令并验证生效。
Apache通过mod_ssl启用OCSP装订（OCSP Stapling），能让服务器在TLS握手时主动提供由CA签发的、时效性强的OCSP响应，避免客户端自行发起OCSP查询，从而显著降低连接延迟、提升HTTPS校验速度，同时增强隐私性与可用性。
确认环境支持OCSP Stapling
需满足以下条件：
- Apache版本 ≥ 2.3.3（推荐2.4.17+，对OCSP错误处理更健壮）
- OpenSSL版本 ≥ 1.0.1（建议1.1.1+，支持OCSP多响应及更安全默认行为）
- SSL证书由支持OCSP的CA签发（主流CA如Let’s Encrypt、DigiCert、Sectigo均支持）
- 服务器能定期访问CA的OCSP响应器（需确保防火墙或代理允许出站到
ocsp.*域名及端口80/443）
在VirtualHost中启用OCSP Stapling
在对应站点的<VirtualHost *:443>配置块内添加以下指令：
-
SSLUseStapling on：开启OCSP装订功能 -
SSLStaplingCache shmcb:/var/run/apache2/stapling_cache(128000)：配置共享内存缓存（路径需与Apache运行用户可写；Debian/Ubuntu常用/var/run/apache2/，RHEL/CentOS建议/var/cache/httpd/） -
SSLStaplingResponderTimeout 5：OCSP请求超时设为5秒（避免阻塞握手） -
SSLStaplingReturnResponderErrors off：OCSP查询失败时不向客户端返回错误，仍继续TLS握手（保障可用性） -
SSLStaplingFakeTry on（可选）：当OCSP响应不可用时，返回“tryLater”而非拒绝装订，更友好
注意：必须启用SSLEngine on且已正确配置SSLCertificateFile和SSLCertificateKeyFile，否则OCSP Stapling不会生效。
立即学习“Java免费学习笔记（深入）”；
验证OCSP装订是否生效
重启Apache后，可通过以下方式确认：
- 命令行检查：
openssl s_client -connect example.com:443 -status -servername example.com 2>&1 | grep -i "OCSP response"，若输出含OCSP Response Status: successful即表示成功 - 在线工具检测：使用SSL Labs Server Test，查看“OCSP stapling”项是否显示“Yes”
- 日志排查：开启
LogLevel ssl:trace4，观察error_log中是否有stapling cache miss或stapling response expired等提示
常见问题与调优建议
若OCSP装订未生效或响应不稳定，可检查：
- 证书链是否完整：Apache需通过
SSLCertificateChainFile或合并至SSLCertificateFile提供中间证书，否则无法定位OCSP响应器URL - 系统时间是否准确：OCSP响应含有效期，服务器时间偏差超过5分钟会导致响应被拒绝
- 缓存路径权限：确保Apache工作进程（如www-data或apache）对该shmcb文件有读写权限
- CA OCSP服务连通性：手动用
curl -v http://ocsp.digicert.com或openssl ocsp -url ...测试可达性
对于高并发站点，可适当增大SSLStaplingCache尺寸（如shmcb:/path/cache(512000)），并配合SSLStaplingStandardCacheTimeout和SSLStaplingErrorCacheTimeout精细控制缓存生命周期。
