排错指南
OCSP stapling：开了能快一点，不开也不算故障
没有启用 OCSP stapling，首次握手会稍慢一些。
这不是故障。 证书是好的，访客也能正常访问，只是每个新访客的浏览器可能要额外去 CA 那里问一次「这张证书被吊销了吗」，多一次网络往返。
OCSP stapling 就是让服务器代劳：服务器定期去问好，把带签名的答复随握手一起发给访客。省掉一次往返，顺带也不让 CA 看到谁在访问你的站点。
开启方式
ssl_stapling on;
ssl_stapling_verify on;
ssl_trusted_certificate /etc/ssl/example.com/fullchain.pem;
resolver 1.1.1.1 8.8.8.8 valid=300s; # 服务器需要能解析 CA 的 OCSP 域名SSLUseStapling on
SSLStaplingCache shmcb:/var/run/ocsp(128000)nginx 少了 resolver 那一行是最常见的失败原因：配置写了、错误日志里却一片 ssl_stapling ignored，因为服务器解析不了 CA 的域名。
确认是否生效
echo | openssl s_client -connect example.com:443 -servername example.com -status 2>/dev/null \
| grep -A 1 'OCSP Response Status'改完配置后第一次握手通常还是没有——服务器要先自己去取一次并缓存下来。等几十秒再试一次。
什么时候可以不管它
- 在 CDN 后面：边缘节点自己会处理，源站开不开都不影响访客。
- 内网服务：访问方少、延迟不敏感，收益很小。
- 服务器不能出网：取不到 OCSP 响应，强行配置只会在日志里刷警告。
常见问题
检测一下你自己的域名
免登录，一次真实的 TLS 握手，直接给出结论：还有多少天到期、证书链是否完整、是否包含这个域名。
需要一张新证书？本站提供基于 Let's Encrypt 的免费签发，支持泛域名。
了解免费证书其他排错指南
- 证书过期了怎么办浏览器拦下访问，提示证书已过期或连接不是私密连接。
- 证书快到期了：先分清是没续期，还是续了没部署证书还没过期，但剩余天数已经不多了。
- 证书还没到生效时间：多半是时钟不对证书的生效时间还没到，被判定为无效。
- 证书透明度日志里出现了没见过的证书监控期间，域名下出现了不是本站签发的新证书。
- 无法连接：证书检测连不上服务器时的排查顺序检测连不上服务器，没能拿到证书。
- 「您的连接不是私密连接」：先找错误代码，再决定修哪里浏览器弹出红色警告拦下访问，但不知道属于哪一种证书问题。
- 关闭 TLS 1.0 / 1.1，只留 1.2 和 1.3服务器还在使用 TLS 1.0 或 1.1 协商连接。
- 证书不包含这个域名：ERR_CERT_COMMON_NAME_INVALID 的几种成因浏览器提示证书不适用于该网站，或者拿到了另一个站点的证书。
- 电脑打得开、手机 App 报证书错误：证书链缺少中间证书电脑浏览器打得开，手机 App、curl 或 Java 客户端却报证书错误。
- 证书被吊销，或者链验证没通过证书被吊销，或者链验证没有通过。
- 自签名证书：什么时候没问题，什么时候必须换证书是自己签给自己的，浏览器不信任。
- 证书链追溯不到受信任的根：新根交叉签名与私有 CA浏览器打得开，curl、旧安卓或 Java 客户端却说找不到颁发者证书。
- RSA 密钥长度不足：为什么现在才被提醒证书的 RSA 密钥长度低于 2048 位。
- 泛域名证书为什么不覆盖主域名子域名都正常，直接访问主域名却报证书错误。
Last updated on