本地Tomcat7服务器SSL配置后Firefox开启OCSP报证书吊销错误

核心原因 #

报错本质是开启OCSP验证的Firefox无法完成证书状态校验，默认判定证书已吊销，和证书本身有效性无关，和网络访问权限、Tomcat配置缺失直接相关。

需排查的配置点与解决方案 #

1. 基础网络权限验证 #

• 确认运行Firefox的终端设备能否正常访问证书内置的OCSP响应服务地址：如果你的通配符证书是公网CA颁发，终端需要有公网访问权限才能发起OCSP查询，局域网隔离环境下无法完成查询时，Firefox默认会返回吊销错误。
• 如果是私有CA颁发的证书，需要确认终端已配置私有OCSP服务的内网访问规则，且CA的OCSP服务本身运行正常。

2. Tomcat配置缺失项补充（推荐方案：开启OCSP装订） #

你当前的Connector配置没有开启OCSP装订（OCSP Stapling），开启后服务端会主动提前获取OCSP响应并在TLS握手时一起发给浏览器，不需要浏览器单独发起OCSP查询，完美适配局域网场景。
Tomcat 7 对应的OCSP装订配置需要在Connector节点补充以下参数：

<Connector port="443" protocol="org.apache.coyote.http11.Http11NioProtocol" 
           maxThreads="150" SSLEnabled="true" scheme="https" secure="true" 
           clientAuth="false" sslProtocol="TLS" 
           keystoreFile="C:/Tomcat7/keystore/file.p12" 
           keystorePass="password" 
           keystoreType="PKCS12"
           <!-- 新增OCSP装订配置 -->
           useOCSP="true"
           ocspResponderURL="http://你的CA对应OCSP服务地址"
           ocspResponderCertAlias="你的OCSP响应签名证书在keystore中的别名（无特殊要求可省略）"
/>

注：如果是公网CA颁发的证书，ocspResponderURL可以填写证书详情里标注的OCSP服务地址，仅需Tomcat所在服务器能访问这个地址来获取OCSP响应缓存即可。

3. 替代方案：调整Firefox OCSP策略（仅适合内部测试场景） #

如果不想调整服务端配置，且仅内部使用，可以在Firefox的about:config页面修改security.OCSP.require参数为false，关闭「OCSP查询失败时强制判定证书无效」的规则，不需要完全关闭OCSP功能也能正常访问。

常见疑问解答 #

• 本地局域网服务器可以使用OCSP，两种实现路径：要么所有终端都能访问OCSP服务地址，要么服务端开启OCSP装订，仅需Tomcat服务器本身能访问OCSP服务即可，不需要所有终端都有公网权限。
• 你当前的Connector配置确实缺失OCSP相关参数，是导致问题的核心原因之一。

内容的提问来源于stack exchange，提问作者Piotr Boryszek