#Что происходит и как отличить проблему
Ошибка OCSP только в определённой сети может означать, что клиент не достигает службы проверки отзыва сертификата или промежуточная сеть фильтрует нужный запрос. Но браузеры и платформы по-разному используют OCSP и CRL, поэтому отсутствие ответа от OCSP-сервера не всегда означает, что сам HTTPS-сайт неисправен или сертификат отозван.
#Возможные причины
| Возможная причина | Как узнать | Что делать |
|---|---|---|
| Сеть ограничивает доступ к центру сертификацииСайт работает через мобильный интернет, но ошибается в одной сети. | В журнале безопасности указан OCSP либо адрес центра сертификации. | Проверить доступность служебных адресов с администратором. |
| Сбой OCSP stapling на сервереСервер пытается приложить устаревший или недоступный ответ об отзыве. | Ошибка повторяется у клиентов с определённой политикой проверок. | Владельцу сайта проверить настройку TLS и ответ центра. |
#Пошаговая проверка и устранение
- Запишите не только предупреждение, но и платформуНа проблемном устройстве откройте публичный HTTPS-сайт и запишите точный текст или код ошибки, версию браузера и дату. Не нажимайте «Продолжить» при предупреждении о проверке сертификата. Ошибки вида SEC_ERROR_OCSP_* и сообщения иных браузеров не всегда эквивалентны: важно сохранить буквальную формулировку.
- Сравните две сети без передачи учётных данныхЕсли это ваш личный компьютер и политика позволяет, проверьте тот же публичный сайт через домашнюю сеть и затем через мобильный интернет. Не отправляйте рабочие пароли и документы через личную сеть. Если сбой только в одной сети, обратите внимание на корпоративный прокси, фильтрацию DNS или безопасный веб-шлюз.
- Проверьте время и состояние самой системыНа Windows откройте «Параметры» → «Время и язык» → «Дата и время»; проверьте автоматическую синхронизацию и часовой пояс. Затем обновите поддерживаемый браузер через его собственное меню справки и повторите тест. Не удаляйте хранилище доверенных корневых сертификатов и не выключайте проверку отзыва через групповые политики.
- Попросите владельца сайта проверить выдачу OCSPЕсли сайт ваш, проверьте через панель хостинга срок и цепочку сертификата. Администратор с OpenSSL на Linux/macOS может открыть «Терминал» и выполнить echo | openssl s_client -connect example.com:443 -servername example.com -status — имена заменить своим доменом, права администратора не нужны, -status запрашивает OCSP stapling у TLS-сервера. Строка «no response sent» сама по себе не доказывает неисправность: stapling не обязателен в каждой конфигурации.
- Передайте запрос сетевому администратору без обхода защитыДля сети, где ошибка повторяется, соберите время, домен, код ошибки и сведения о прокси, если они известны. Попросите администратора проверить доступность OCSP/CRL-адресов центра сертификации, политику проверок и журналы фильтрации. Если сертификат реально отозван, владелец сайта должен выпустить новый и исправить конфигурацию; нельзя обходить предупреждение на стороне пользователя.
- Терминал Linux/macOS с OpenSSL; оба example.com заменить проверяемым доменомLinux · Терминал (Bash)КомандаТерминал Linux/macOS с OpenSSL; оба example.com заменить проверяемым доменом. -status запрашивает у сервера приложенный OCSP-ответ, если сервер его поддерживает; не отключает проверку безопасности.
echo | openssl s_client -connect example.com:443 -servername example.com -status
#Проверка результата и дальнейшие действия
Сайт должен открываться с действительным сертификатом в затронутой сети без ошибок проверки отзыва. Если диагностика показывает, что сертификат отозван или сервер отдаёт неправильную цепочку, исправление требуется на стороне владельца сайта.