تتبع إخفاقات الوكيل في فحوص شهادات CRL وOCSP
تتبع استرداد CRL أو OCSP تحت حساب المدقق عندما يصل التطبيق إلى الوكيل الخاص به لكن التحقق من الشهادة لا يكتمل.
قد يصل طلب موقع ويب إلى الوكيل الخاص به ومع ذلك يفشل لأن التحقق من الشهادة يحتاج إلى طلب شبكة آخر. قد يجري استرداد CRL أو OCSP عبر مكوّن من مكوّنات النظام الأساسي بحساب وسياسة وكيل مختلفين عن عميل HTTP الخاص بالتطبيق.
ابدأ بخطأ السلسلة الدقيق. ملغاة تعني شيئًا مختلفًا عن تعذر الحصول على معلومات الإلغاء الحالية. انتهاء الصلاحية والمُصدر غير الموثوق بهما مشكلتان أخريان. فشل الاسترداد وحده هو ما يستدعي تتبع مسار مفقود إلى عنوان URL للحالة.
بالنسبة لذلك الفشل، حدّد ثلاثة أشياء معًا: عنوان URL الذي يجري جلبه، والمكوّن الذي يقوم بالجلب، وهوية عمليته. فتح المتصفح لعنوان URL بنجاح تحت حسابك التفاعلي لا يثبت أن خدمة ما تستطيع المصادقة على الوكيل نفسه.
إذا كان المكوّن المحدد يستخدم WinHTTP، فافحص السياسة المطبقة عليه. تكوين الوكيل الثابت والتقييم التلقائي للوكيل لكل عنوان URL آليتان منفصلتان. طبّق التكوين المدعوم للحساب المقصود؛ فنسخ إعدادات المتصفح أو تغيير بيئة تشغيل غير ذات صلة قد يترك الجلب الفعلي دون مساس.
في .NET يتحكم UrlRetrievalTimeout في سياسة السلسلة في مهلة انتظار التحقق عبر الإنترنت أو استرداد CRL. تمديد مهلة استجابة HTTP العادية لا يمدد ذلك المؤقت نفسه، وتمديد مؤقت الاسترداد لا يوفر بيانات اعتماد الوكيل ولا مسارًا.
يمكن لوكيل HTTPS أن يجعل هذا الاعتماد ظاهرًا حتى قبل TLS الخاص بالوجهة: فقد يتطلب الثقة في اتصال الوكيل نفسه استرداد معلومات الإلغاء. أعد وصول الاسترداد المدعوم وترتيب الثقة في تلك المرحلة. تعطيل فحص الإلغاء يغيّر سياسة الشهادة؛ لكنه لا يعيد الاسترداد الفاشل.