17 jun 2022

Apache - Habilitar Grapado OCSP

Lectura previa:

•  Grapado OCSP
• Instalar Certificado SSL - Apache

Habilitar Grapado OCSP

1. Asegúrese de que Apache 2.3.3 o superior esté instalado.

   apache2 -v

   Nota: Lo anterior se aplica a los entornos Debian y Ubuntu; Los usuarios de Red Hat y CentOS, reemplace apache2 con httpd.

2. Edite el archivo de configuración de host virtual para su sitio utilizando el editor de su elección (como nano o vi):

   nano /etc/apache2/sites-available/example.com-ssl.conf

3. Active el grapado OCSP con la siguiente entrada:

   SSLUseStapling on

4. Establezca el número de segundos para esperar una respuesta OCSP de CA para evitar mensajes de error de usuario:

   SSLStaplingResponderTimeout 5
   SSLStaplingReturnResponderErrors off

5. Indique un archivo de plena confianza para la cadena del certificado. Este debe contener todos los certificados: raíz, intermedio y servidor.

   SSLCACertificateFile /etc/apache2/ssl/full_chain.pem

6. Especifique la ubicación de respuesta almacenada en caché de OCSP:
   SSLStaplingCache shmcb:/var/run/ocsp(128000)

   Nota: Esto debe colocarse fuera de las <VirtualHost> etiquetas o Apache no se iniciará.

   Utilice la configuración de ejemplo siguiente como referencia:
   
   

7. Pruebe la configuración antes de volver a cargar:
   apachectl -t

8. Reinicie el servicio Apache si está bien:
   recarga del servicio apache2
9. Verifique que OCSP Stapling esté funcionando comprobando su dominio con el Comprobador SSL de GlobalSign.​​​​​​​