• [^] # Re: Exceptionel ? Pas vraiment.

    Posté par . En réponse au journal panne de l'OCSP chez StartSSL/StartCom. Évalué à 5.

    le réglage est également sur «non requis» par défaut

    À ma connaissance, le réglage par défaut est de tenter de confirmer la validité du certificat en contactant le serveur OCSP, mais d’accepter quand même le certificat si jamais le serveur OCSP ne répond pas (soft-fail, par opposition au hard-fail, où l’impossibilité de contacter le serveur OCSP entraîne automatiquement le refus du certificat).

    Ici, d’après le message d’erreur que tu rapportes :

    Une erreur est survenue pendant une connexion à blabla. Le serveur OCSP n'a pas de statut pour le certificat. (Code d'erreur : sec_error_ocsp_unknown_cert)

    Le serveur OCSP a bel et bien répondu, mais il a répondu qu’il ne connaissait pas le certificat que tu lui demandes de vérifier (ce qui signifie : « je n’ai pas émis ce certificat »).

    Dans ce cas de figure, le réglage soft-fail ou hard-fail n’a aucune importance (il ne fait de différence que lorsque le serveur OCSP ne répond pas). Même en mode soft-fail, le navigateur ne peut pas ne pas tenir compte d’une réponse négative du serveur OCSP (sinon à quoi bon demander en premier lieu ?).

    Le problème semble purement du côté de Startcom, dont les serveurs OCSP tardent à être informés de l’émission de nouveaux certificats.