北美時裝零售商Nordstrom表示，網站響應時間延遲僅半秒，它的在線銷售就下降了11%。該公司每年總收入達到140億美元，網站響應延遲導致其損失數億美元。
像Nordstrom這樣在意網站訪問速度的企業數不勝數，當全球越來越多的網站/APP開始采用HTTPS協議，以保護用戶隱私，防止網站流量劫持，但同時帶來的網站訪問速度下降問題，也讓企業非常頭疼。
HTTPS網站訪問慢，可能是OCSP性能不夠好
不得不說，如何優化HTTPS性能，提升HTTPS訪問速度，是一個非常系統和復雜的話題。對于用戶來說，使用HTTP請求，首次請求時只要和服務端TCP三次握手建立連接，便可以開始應用數據傳輸了。但對于HTTPS而言，事情就不那么簡單。
不僅如此，由于HTTPS使用SSL證書進行加密，當用戶訪問HTTPS網站時，客戶端(瀏覽器或其他設備)會首先通過CA(證書頒發機構)的證書吊銷列表(CRL)或者在線證書狀態協議(OCSP)，來驗證網站的SSL證書是否有效。
相比CRL驗證方式，OCSP的方式更加高效，但同時也存在副作用，即某些客戶端會在SSL/TLS握手期間去實時查詢CA提供的OCSP接口，這個過程會產生額外的開銷和延時，并在得到驗證結果前阻塞后續流程。
由于大多數全球權威CA的OCSP站點都設在國外，當網絡環境較差、出現網絡故障以及遇到特殊時期網絡封鎖，客戶端無法連接到OCSP站點，或者OCSP站點無法返回證書狀態內容，導致HTTPS請求可能還沒到多次握手階段，就先卡在了OCSP環節，直接影響網站的訪問速度，嚴重時造成網站癱瘓無法訪問。
由此看來，造成HTTPS網站訪問速度慢，可能有多種原因，但是當我們做了很多性能優化的措施卻不見效時，就該想想是否在OCSP環節出了問題。
國內首個OCSP本地化，實現HTTPS自動化加速
事實上，為了解決OCSP性能問題，業界比較主流的解決辦法是OCSP Stapling，即服務器可事先模擬瀏覽器對證書鏈進行驗證，并將帶有CA機構簽名的OCSP響應保存到本地，省去瀏覽器的在線驗證過程。
雖然OCSP Stapling能夠極大提高OCSP性能，但并不是所有的瀏覽器和容器環境都支持，而且需要企業運維人員手動配置，進行周期性的操作，這就對企業自身運維提出了極高的要求，然而大多數企業并不具備這樣的專業能力。
值得慶幸的是，一種全新的解決方案已經誕生。目前，國內權威CA機構天威誠信聯合DigiCert & Symantec首次面向中國用戶推出了OCSP本地化服務，由天威誠信簽發的DigiCert & Symantec SSL證書可以助力國內企業自動化實現HTTPS訪問加速，不再需要專業運維人員手動配置OCSP Stapling。
OCSP本地化的原理在于，將OCSP過程中訪問境外OCSP服務器，轉變為訪問國內阿里云鏡像服務器，通過國內云節點提供最大程度的低延遲和高性能，從而為國內企業提供高效的HTTPS訪問效率。
在測試環境中，OCSP本地化的請求返回時間較之以前提升了3-4倍。對于金融、電商、互聯網等行業而言，OCSP本地化就像是HTTPS網站的“速效救心丸”，無論是節假日、雙11等流量高峰時期，還是企業網絡區域節點受限、特殊時期網絡封鎖等場景，都能夠保障網站/APP在線訪問的穩定性、持續性和高性能，有效提升HTTPS網站的訪問速度，解決網絡擁堵的瓶頸。
需要注意的是，目前OCSP本地化服務僅限中國區，由天威誠信簽發的DigiCert & Symantec SSL證書可以直接使用此功能，而從國外渠道供應商獲取到的證書并沒有這項服務。企業在購買SSL證書時需留心這一細節，續簽證書的企業也可以咨詢天威誠信能否獲得該項升級服務。
如今，全網采用HTTPS加密已成不可逆的趨勢，企業若要提升HTTPS訪問速度，不如先從OCSP本地化開始。
京公網安備 11010502049343號