> For the complete documentation index, see [llms.txt](https://docs.radiusaas.com/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://docs.radiusaas.com/fr/autre/faqs/consequences-du-mode-echec-souple-docsp.md). # Conséquences du mode échec souple d'OCSP Cette page fournit un aperçu des avantages et des inconvénients du mécanisme de mode échec souple d'OCSP. Avant d'aborder les avantages et les inconvénients, commençons par rappeler brièvement ce que signifie ce paramètre : Veuillez noter : tous ces exemples décrivent le comportement d'une authentification où le demandeur possède un certificat valide (non expiré, délivré par une autorité de certification de confiance). #### Échec souple = activé Si un problème survient lors de l'interrogation du répondeur OCSP, comme un délai d'attente ou des données incorrectes, l'application considère l'état de révocation du certificat comme '**valide**'. #### Échec souple = désactivé Si un problème survient lors de l'interrogation du répondeur OCSP, comme un délai d'attente ou des données incorrectes, l'application considère l'état de révocation du certificat comme '**révoqué**'. Si vous utilisez **OCSP-Autodetect** et que le certificat client n'inclut pas d'URL de répondeur OCSP, l'application considère l'état de révocation du certificat comme '**révoqué**'. ## Avantages et inconvénients ### Échec souple activé #### Avantages 1. **Disponibilité accrue et moins d'interruptions** * Les utilisateurs risquent moins de subir des échecs d'authentification soudains dus à des problèmes réseau transitoires ou à des interruptions temporaires du répondeur OCSP. * Améliore l'expérience utilisateur et réduit les appels au support liés aux problèmes de « connexion impossible » causés uniquement par des problèmes de connectivité OCSP ou de service. 2. **Meilleure tolérance des pannes du service OCSP** * Si l'hébergeur du service OCSP subit une indisponibilité ou des problèmes liés au certificat, les authentifications réussiront quand même. 3. **Impact minimal sur la continuité de l'activité** * Particulièrement important dans les environnements où l'indisponibilité a un coût élevé (p. ex. infrastructures critiques, services d'urgence ou activités 24 h/24 et 7 j/7). #### Inconvénients 1. **Risque de sécurité : des certificats révoqués peuvent être acceptés** * Une défaillance de la vérification de l'état de révocation sur le serveur RADIUS, due à l'indisponibilité d'OCSP ou à d'autres problèmes, entraînera l'acceptation d'un certificat révoqué. * Cela sape le modèle de confiance de l'authentification par certificat et peut être exploité si un attaquant provoque délibérément des échecs OCSP. 2. **Manque de visibilité sur les problèmes à l'échelle du système** * Si le système contourne silencieusement les vérifications de révocation, les administrateurs pourraient ne pas remarquer immédiatement qu'un répondeur OCSP est hors service ou mal configuré, ce qui prolonge la fenêtre de vulnérabilité. ### Échec souple désactivé #### Avantages 1. **Meilleure garantie de sécurité** * Garantit que tout certificat qui ne peut pas être validé positivement auprès du répondeur OCSP est rejeté. * Protège contre l'utilisation de certificats révoqués ou autrement compromis. 2. **Signaux opérationnels clairs** * Si l'authentification commence soudainement à échouer, cela oblige à porter rapidement attention aux problèmes de disponibilité ou de configuration d'OCSP. * Les administrateurs sont immédiatement informés de tout problème de connectivité ou de chaîne de confiance, car aucun utilisateur ne peut s'authentifier tant que la vérification OCSP n'est pas réussie. #### Inconvénients 1. **Point de défaillance unique** * Si le répondeur OCSP est hors service, victime d'une attaque DDoS, inaccessible ou mal configuré, **toutes les** authentifications avec certificat valide échouent. * Peut provoquer des perturbations importantes pour l'activité et une avalanche d'appels au support. 2. **Dépendance à la disponibilité du service OCSP** * Implique que votre service OCSP doit être hautement disponible et surveillé de manière robuste. * Nécessite une planification approfondie du basculement (p. ex. plusieurs répondeurs OCSP, répartition de charge ou redondance) pour éviter des pannes massives. * Nécessite de prévoir la mise à jour du répondeur 3. **Frustration possible pour les utilisateurs** * Les utilisateurs ne peuvent pas se connecter même lorsqu'ils disposent de certificats parfaitement valides, simplement parce que la vérification OCSP ne peut pas aboutir. --- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation by asking a question. Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters: ``` GET https://docs.radiusaas.com/fr/autre/faqs/consequences-du-mode-echec-souple-docsp.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.