如何通过openssl命令检测网站是否支持OCSP响应式证书状态查询？

本文共计1160个文字，预计阅读时间需要5分钟。

目录+简介+支持OCSP和stapling的网站+获取服务器的证书+获取OCSP responder地址+发送OCSP请求+一个更简单的方法+总结+简介+OCSP在线证书状态协议是为了替代CRL而提出的。对于现代web服务器而言，...

目录

• 简介
• 支持OCSP stapling的网站
• 获取服务器的证书
• 获取OCSP responder地址
• 发送OCSP请求
• 一个更加简单的方法
• 总结

简介

OCSP在线证书状态协议是为了替换CRL而提出来的。对于现代web服务器来说一般都是支持OCSP的，OCSP也是现代web服务器的标配。

但是OCSP stapling却不是所有的web服务器都支持。但是现实工作中我们可能需要知道具体某个网站对OCSP的支持程度。

支持OCSP stapling的网站

怎么判断一个web站点是否支持OCSP stapling呢？

最简单的方法就是去第三方网站查看网站的证书信息。比如我们之前提到过的entrust.ssllabs.com，通过输入对应的网站信息，在
Protocol Details一节中，可以找到网站是否支持OCSP stapling的具体信息，如下所示：

可以看到这个网站是开启了OCSP stapling的。但是事实上这个世界上的绝大部分网站是没有开启OCSP stapling的。

那么除了在第三方网站上查看OCSP stapling之外，还有没有其他办法呢？

事实上我们可以使用openssl神器轻松的做到这一点。当然前提是这个网站支持ocsp.digicert.com。