tls.cert.ocsp_not_applicable
OCSP-Stapling nicht anwendbar
Was wir prüfen
Bevor wir bewerten, ob ein Server eine OCSP-Antwort stapelt, prüfen wir die Authority-Information-Access-Erweiterung (AIA) des Zertifikats auf eine OCSP-Responder-URL. Dieses Ergebnis erscheint, wenn das Zertifikat keinen OCSP-Responder nennt — dann gibt es schlicht nichts zu stapeln.
Was dieses Ergebnis bedeutet
Das Zertifikat enthält keine OCSP-Responder-URL; OCSP-Stapling ist auf diesem Server also gar nicht möglich. Das ist keine Fehlkonfiguration — die Zertifizierungsstelle hat sich entschieden, keinen OCSP-Endpunkt zu veröffentlichen.
Häufigste Ursache: Let's Encrypt hat seine OCSP-Responder 2025 abgeschaltet und stellt Sperrinformationen nur noch über CRLs bereit. Seither ausgestellte Zertifikate tragen keinen OCSP-Responder mehr in der AIA-Erweiterung. Da Let's Encrypt die Mehrheit der Postfix- und Mailcow-Installationen versorgt, wird dieser Befund immer häufiger.
Warum das wichtig ist
- Nicht behebbar. Der Betreiber kann einem Zertifikat keinen OCSP-Responder anfügen — das entscheidet die CA bei der Ausstellung. Die Empfehlung „aktiviere OCSP-Stapling" wäre hier irreführend: Es gibt keinen Responder, von dem sich stapeln ließe.
- Sperrung funktioniert weiter. CRL-basierte Sperrung bleibt verfügbar. Das Ende von OCSP heißt nicht, dass Sperrprüfungen unmöglich sind — nur, dass einer von zwei Mechanismen fehlt.
So fließt es in die Bewertung ein
OCSP nicht anwendbar ist informativ und kostet keine Punkte. Das vollständige Scoring-Modell steht in der Bewertungsmethodik.
Evidenzbeispiel
Zertifikatsaussteller: R11 (Let's Encrypt)
Authority Information Access:
CA Issuers: http://r11.i.lencr.org/
OCSP: (keiner — abgeschaltet)