OCSP stapling explicado (e por que é opcional)
Atualizado em 2026-11-03 · 5 min de leitura
A checagem de revogação é o elo mais fraco da cadeia de certificados: o navegador precisa perguntar a um terceiro se o certificado ainda vale, e essa pergunta vaza o visitante para a CA. O stapling leva a resposta para dentro do handshake.
O problema do OCSP simples
Quando um navegador recebe um certificado, ele pode consultar o responder OCSP da CA para verificar se o certificado foi revogado. Essa requisição é uma conexão separada a um terceiro, adiciona latência e revela a que site o visitante se conecta — antes mesmo de a página carregar.
Se o responder estiver lento ou inacessível, os navegadores ou liberam (ignoram a checagem) ou bloqueiam o site, dependendo do cliente. Nenhuma das duas é boa.
O que o stapling muda
Com stapling, o servidor busca ele mesmo a resposta OCSP assinada, faz cache e a anexa ao handshake TLS. O navegador recebe a resposta de revogação sem contatar ninguém: sem ida e volta extra e sem vazamento.
Também elimina a dependência de a CA estar acessível a partir da rede do visitante, o que importa em regiões onde responderes OCSP são bloqueados de forma intermitente.
Ativando e verificando
No nginx, o stapling precisa de um resolver e do arquivo de cadeia; faltando qualquer um, ele não faz nada em silêncio. No Apache, a diretiva de cache precisa estar no nível do servidor. Após recarregar, verifique de fora — uma linha de configuração presente mas inoperante parece idêntica a uma ausente.
# nginx
ssl_stapling on;
ssl_stapling_verify on;
ssl_trusted_certificate /etc/letsencrypt/live/example.com/chain.pem;
resolver 1.1.1.1 8.8.8.8 valid=300s;
# verify from outside — look for a stapled response, not just "OCSP response: none"
openssl s_client -connect example.com:443 -status -servername example.com </dev/null 2>/dev/null | grep -A3 "OCSP Response Status"Por que não é exigido para A+
O stapling é uma melhoria de privacidade e latência, não de força do protocolo. Um servidor que não faz stapling não é menos seguro do modo como é um que oferece TLS 1.0. O CertH o trata como sinal positivo na seção de saúde da configuração, mas não o exige para a nota máxima.
Dito isso, é um dos ganhos mais baratos: duas linhas de configuração, zero impacto no cliente e ganho mensurável de privacidade para cada visitante.
FAQ
O stapling quebra se o responder da CA cair?
O servidor continua servindo a última resposta em cache até ela expirar. No nginx, uma atualização falha recorre à cópia em cache, e é por isso que um resolver e um arquivo de cadeia válido são necessários para um comportamento confiável.
Vale ativar o must-staple?
Só se o stapling for absolutamente sólido. A extensão must-staple faz os clientes rejeitarem a conexão quando não há resposta stapled, então uma falha de cache ou de resolver vira indisponibilidade.