はじめに
OCSP Staplingは、HTTPSサイトのセキュリティを強化する重要な機能であり、特にSSL/TLS証明書の有効性確認を高速かつ効率的に実現します。WordPressサイトでは、この設定を行うことでサイト訪問者のプライバシー保護とパフォーマンス向上が期待できます。
症状・背景
このテーマが必要になる主な場面:
- <場面1>: SSL/TLS証明書の更新頻度が高い場合
- <場面2>: ユーザーからのアクセス速度改善要望がある場合
- <場面3>: サイトセキュリティスコアを向上させたい場合
- <場面4>: CDNサービスを利用していて、SSL/TLS設定を最適化したい場合
手順・設定方法
ステップ1: OCSP Stapling機能を有効にする
# Apacheの場合、Apacheの設定ファイル（通常は/etc/apache2/sites-available/default-ssl.conf）を開きます。
sudo nano /etc/apache2/sites-available/default-ssl.conf
# SSLStaplingが有効であることを確認します。以下のような行があるはずです。
SSLOpenSSLConfCmd OCSP,ResponderURL "http://ocsp.digicert.com/"
SSLOpenSSLConfCmd OCSP,ResponderCAFile "/etc/ssl/certs/DigiCertHighAssuranceEVRootCA.crt"
# 必要に応じて、OCSP Staplingのキャッシュ期間を設定します。デフォルトは24時間です。
SSLOpenSSLConfCmd OCSP,CertStatusCacheSize 512
SSLOpenSSLConfCmd OCSP,ResponderTimeout 10ステップ2: Nginxの場合、Nginxのサーバーブロック設定を更新する
# ファイルを開きます。
sudo nano /etc/nginx/sites-available/default
# ssl_stapling on; を追加します。
ssl_stapling on;
# 適切なOCSPリスポンダURLを指定します。
ssl_trusted_certificate /path/to/trusted-certificate.pem;ステップ3: PHP-FPMの設定に応じて、適切なSSL設定を適用する
# PHP-FPMが利用している場合、PHPの設定ファイル（通常は/etc/php/7.4/fpm/pool.d/www.conf）を開きます。
sudo nano /etc/php/7.4/fpm/pool.d/www.conf
# OPCacheとOCSP Staplingを有効にする行がありますので、コメントアウトを解除します。
; opcache.enable=1
opcache.enable=1
# PHP-FPMでSSL証明書のパスを指定します。
env[HTTPS]=onステップ4: 設定を適用し、セキュリティチェックを行う
# Apacheの場合、設定ファイルを保存してApacheサービスを再起動します。
sudo systemctl reload apache2
# Nginxの場合、設定ファイルを保存してNginxサービスを再起動します。
sudo systemctl reload nginx
# セキュリティチェックツールを使用して、設定が正しく反映されていることを確認します。
curl -I https://example.com注意事項
- <実践的な注意点1>: OCSP Staplingは証明書の信頼性を高める一方で、サーバー負荷を増加させる可能性があります。適切なキャッシュ期間を設定することが重要です。
- <実践的な注意点2>: ApacheやNginxのバージョンによっては、OCSP Staplingがサポートされていない場合がありますので確認が必要です。
- <セキュリティ上の注意>: SSL証明書と信頼されたCAファイルのパスを適切に指定することが重要です。誤った設定ではサイトアクセスが不可能になる可能性があります。
- <パフォーマンス/運用上の注意>: OCSP Staplingのキャッシュサイズやタイムアウト値は、サーバーの負荷とセキュリティ要件に基づいて調整が必要です。
まとめ
1. OCSP Staplingの有効化: サイト訪問者へのSSL証明書の有効性確認を高速化します。
2. 設定ファイルの更新: ApacheやNginx、PHP-FPMの設定ファイルにOCSP Staplingに関する設定を行います。
3. セキュリティチェック: 設定後のサイトアクセス状態とSSL/TLS証明書の有効性を確認します。
4. 負荷管理: セッションキャッシュサイズやタイムアウト値を適切に調整することで、サーバー負荷をコントロールします。
関連記事: