granicus.if.org Git - apache/blob - docs/manual/mod/mod_ssl.html.en

   1 <?xml version="1.0" encoding="ISO-8859-1"?>
   2 <!DOCTYPE html PUBLIC "-//W3C//DTD XHTML 1.0 Strict//EN" "http://www.w3.org/TR/xhtml1/DTD/xhtml1-strict.dtd">
   3 <html xmlns="http://www.w3.org/1999/xhtml" lang="en" xml:lang="en"><head>
   4 <meta content="text/html; charset=ISO-8859-1" http-equiv="Content-Type" />
   5 <!--
   6         XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX
   7               This file is generated from xml source: DO NOT EDIT
   8         XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX
   9       -->
  10 <title>mod_ssl - Apache HTTP Server Version 2.5</title>
  11 <link href="../style/css/manual.css" rel="stylesheet" media="all" type="text/css" title="Main stylesheet" />
  12 <link href="../style/css/manual-loose-100pc.css" rel="alternate stylesheet" media="all" type="text/css" title="No Sidebar - Default font size" />
  13 <link href="../style/css/manual-print.css" rel="stylesheet" media="print" type="text/css" /><link rel="stylesheet" type="text/css" href="../style/css/prettify.css" />
  14 <script src="../style/scripts/prettify.min.js" type="text/javascript">
  15 </script>
  16
  17 <link href="../images/favicon.ico" rel="shortcut icon" /></head>
  18 <body>
  19 <div id="page-header">
  20 <p class="menu"><a href="../mod/">Modules</a> | <a href="../mod/quickreference.html">Directives</a> | <a href="http://wiki.apache.org/httpd/FAQ">FAQ</a> | <a href="../glossary.html">Glossary</a> | <a href="../sitemap.html">Sitemap</a></p>
  21 <p class="apache">Apache HTTP Server Version 2.5</p>
  22 <img alt="" src="../images/feather.png" /></div>
  23 <div class="up"><a href="./"><img title="&lt;-" alt="&lt;-" src="../images/left.gif" /></a></div>
  24 <div id="path">
  25 <a href="http://www.apache.org/">Apache</a> &gt; <a href="http://httpd.apache.org/">HTTP Server</a> &gt; <a href="http://httpd.apache.org/docs/">Documentation</a> &gt; <a href="../">Version 2.5</a> &gt; <a href="./">Modules</a></div>
  26 <div id="page-content">
  27 <div id="preamble"><h1>Apache Module mod_ssl</h1>
  28 <div class="toplang">
  29 <p><span>Available Languages: </span><a href="../en/mod/mod_ssl.html" title="English">&nbsp;en&nbsp;</a> |
  30 <a href="../es/mod/mod_ssl.html" hreflang="es" rel="alternate" title="Español">&nbsp;es&nbsp;</a> |
  31 <a href="../fr/mod/mod_ssl.html" hreflang="fr" rel="alternate" title="Français">&nbsp;fr&nbsp;</a></p>
  32 </div>
  33 <table class="module"><tr><th><a href="module-dict.html#Description">Description:</a></th><td>Strong cryptography using the Secure Sockets
  34 Layer (SSL) and Transport Layer Security (TLS) protocols</td></tr>
  35 <tr><th><a href="module-dict.html#Status">Status:</a></th><td>Extension</td></tr>
  36 <tr><th><a href="module-dict.html#ModuleIdentifier">Module Identifier:</a></th><td>ssl_module</td></tr>
  37 <tr><th><a href="module-dict.html#SourceFile">Source File:</a></th><td>mod_ssl.c</td></tr></table>
  38 <h3>Summary</h3>
  39
  40 <p>This module provides SSL v3 and TLS v1.x support for the Apache
  41 HTTP Server. SSL v2 is no longer supported.</p>
  42
  43 <p>This module relies on <a href="http://www.openssl.org/">OpenSSL</a>
  44 to provide the cryptography engine.</p>
  45
  46 <p>Further details, discussion, and examples are provided in the
  47 <a href="../ssl/">SSL documentation</a>.</p>
  48 </div>
  49 <div id="quickview"><h3>Topics</h3>
  50 <ul id="topics">
  51 <li><img alt="" src="../images/down.gif" /> <a href="#envvars">Environment Variables</a></li>
  52 <li><img alt="" src="../images/down.gif" /> <a href="#logformats">Custom Log Formats</a></li>
  53 <li><img alt="" src="../images/down.gif" /> <a href="#notes">Request Notes</a></li>
  54 <li><img alt="" src="../images/down.gif" /> <a href="#expressionparser">Expression Parser Extension</a></li>
  55 <li><img alt="" src="../images/down.gif" /> <a href="#authzproviders">Authorization providers for use with Require</a></li>
  56 </ul><h3 class="directives">Directives</h3>
  57 <ul id="toc">
  58 <li><img alt="" src="../images/down.gif" /> <a href="#sslcacertificatefile">SSLCACertificateFile</a></li>
  59 <li><img alt="" src="../images/down.gif" /> <a href="#sslcacertificatepath">SSLCACertificatePath</a></li>
  60 <li><img alt="" src="../images/down.gif" /> <a href="#sslcadnrequestfile">SSLCADNRequestFile</a></li>
  61 <li><img alt="" src="../images/down.gif" /> <a href="#sslcadnrequestpath">SSLCADNRequestPath</a></li>
  62 <li><img alt="" src="../images/down.gif" /> <a href="#sslcarevocationcheck">SSLCARevocationCheck</a></li>
  63 <li><img alt="" src="../images/down.gif" /> <a href="#sslcarevocationfile">SSLCARevocationFile</a></li>
  64 <li><img alt="" src="../images/down.gif" /> <a href="#sslcarevocationpath">SSLCARevocationPath</a></li>
  65 <li><img alt="" src="../images/down.gif" /> <a href="#sslcertificatechainfile">SSLCertificateChainFile</a></li>
  66 <li><img alt="" src="../images/down.gif" /> <a href="#sslcertificatefile">SSLCertificateFile</a></li>
  67 <li><img alt="" src="../images/down.gif" /> <a href="#sslcertificatekeyfile">SSLCertificateKeyFile</a></li>
  68 <li><img alt="" src="../images/down.gif" /> <a href="#sslciphersuite">SSLCipherSuite</a></li>
  69 <li><img alt="" src="../images/down.gif" /> <a href="#sslcompression">SSLCompression</a></li>
  70 <li><img alt="" src="../images/down.gif" /> <a href="#sslcryptodevice">SSLCryptoDevice</a></li>
  71 <li><img alt="" src="../images/down.gif" /> <a href="#sslengine">SSLEngine</a></li>
  72 <li><img alt="" src="../images/down.gif" /> <a href="#sslfips">SSLFIPS</a></li>
  73 <li><img alt="" src="../images/down.gif" /> <a href="#sslhonorcipherorder">SSLHonorCipherOrder</a></li>
  74 <li><img alt="" src="../images/down.gif" /> <a href="#sslinsecurerenegotiation">SSLInsecureRenegotiation</a></li>
  75 <li><img alt="" src="../images/down.gif" /> <a href="#sslocspdefaultresponder">SSLOCSPDefaultResponder</a></li>
  76 <li><img alt="" src="../images/down.gif" /> <a href="#sslocspenable">SSLOCSPEnable</a></li>
  77 <li><img alt="" src="../images/down.gif" /> <a href="#sslocspnoverify">SSLOCSPNoverify</a></li>
  78 <li><img alt="" src="../images/down.gif" /> <a href="#sslocspoverrideresponder">SSLOCSPOverrideResponder</a></li>
  79 <li><img alt="" src="../images/down.gif" /> <a href="#sslocspproxyurl">SSLOCSPProxyURL</a></li>
  80 <li><img alt="" src="../images/down.gif" /> <a href="#sslocsprespondercertificatefile">SSLOCSPResponderCertificateFile</a></li>
  81 <li><img alt="" src="../images/down.gif" /> <a href="#sslocsprespondertimeout">SSLOCSPResponderTimeout</a></li>
  82 <li><img alt="" src="../images/down.gif" /> <a href="#sslocspresponsemaxage">SSLOCSPResponseMaxAge</a></li>
  83 <li><img alt="" src="../images/down.gif" /> <a href="#sslocspresponsetimeskew">SSLOCSPResponseTimeSkew</a></li>
  84 <li><img alt="" src="../images/down.gif" /> <a href="#sslocspuserequestnonce">SSLOCSPUseRequestNonce</a></li>
  85 <li><img alt="" src="../images/down.gif" /> <a href="#sslopensslconfcmd">SSLOpenSSLConfCmd</a></li>
  86 <li><img alt="" src="../images/down.gif" /> <a href="#ssloptions">SSLOptions</a></li>
  87 <li><img alt="" src="../images/down.gif" /> <a href="#sslpassphrasedialog">SSLPassPhraseDialog</a></li>
  88 <li><img alt="" src="../images/down.gif" /> <a href="#sslpolicy">SSLPolicy</a></li>
  89 <li><img alt="" src="../images/down.gif" /> <a href="#sslpolicydefinesection">&lt;SSLPolicyDefine&gt;</a></li>
  90 <li><img alt="" src="../images/down.gif" /> <a href="#sslprotocol">SSLProtocol</a></li>
  91 <li><img alt="" src="../images/down.gif" /> <a href="#sslproxycacertificatefile">SSLProxyCACertificateFile</a></li>
  92 <li><img alt="" src="../images/down.gif" /> <a href="#sslproxycacertificatepath">SSLProxyCACertificatePath</a></li>
  93 <li><img alt="" src="../images/down.gif" /> <a href="#sslproxycarevocationcheck">SSLProxyCARevocationCheck</a></li>
  94 <li><img alt="" src="../images/down.gif" /> <a href="#sslproxycarevocationfile">SSLProxyCARevocationFile</a></li>
  95 <li><img alt="" src="../images/down.gif" /> <a href="#sslproxycarevocationpath">SSLProxyCARevocationPath</a></li>
  96 <li><img alt="" src="../images/down.gif" /> <a href="#sslproxycheckpeercn">SSLProxyCheckPeerCN</a></li>
  97 <li><img alt="" src="../images/down.gif" /> <a href="#sslproxycheckpeerexpire">SSLProxyCheckPeerExpire</a></li>
  98 <li><img alt="" src="../images/down.gif" /> <a href="#sslproxycheckpeername">SSLProxyCheckPeerName</a></li>
  99 <li><img alt="" src="../images/down.gif" /> <a href="#sslproxyciphersuite">SSLProxyCipherSuite</a></li>
 100 <li><img alt="" src="../images/down.gif" /> <a href="#sslproxyengine">SSLProxyEngine</a></li>
 101 <li><img alt="" src="../images/down.gif" /> <a href="#sslproxymachinecertificatechainfile">SSLProxyMachineCertificateChainFile</a></li>
 102 <li><img alt="" src="../images/down.gif" /> <a href="#sslproxymachinecertificatefile">SSLProxyMachineCertificateFile</a></li>
 103 <li><img alt="" src="../images/down.gif" /> <a href="#sslproxymachinecertificatepath">SSLProxyMachineCertificatePath</a></li>
 104 <li><img alt="" src="../images/down.gif" /> <a href="#sslproxypolicy">SSLProxyPolicy</a></li>
 105 <li><img alt="" src="../images/down.gif" /> <a href="#sslproxyprotocol">SSLProxyProtocol</a></li>
 106 <li><img alt="" src="../images/down.gif" /> <a href="#sslproxyverify">SSLProxyVerify</a></li>
 107 <li><img alt="" src="../images/down.gif" /> <a href="#sslproxyverifydepth">SSLProxyVerifyDepth</a></li>
 108 <li><img alt="" src="../images/down.gif" /> <a href="#sslrandomseed">SSLRandomSeed</a></li>
 109 <li><img alt="" src="../images/down.gif" /> <a href="#sslrenegbuffersize">SSLRenegBufferSize</a></li>
 110 <li><img alt="" src="../images/down.gif" /> <a href="#sslrequire">SSLRequire</a></li>
 111 <li><img alt="" src="../images/down.gif" /> <a href="#sslrequiressl">SSLRequireSSL</a></li>
 112 <li><img alt="" src="../images/down.gif" /> <a href="#sslsessioncache">SSLSessionCache</a></li>
 113 <li><img alt="" src="../images/down.gif" /> <a href="#sslsessioncachetimeout">SSLSessionCacheTimeout</a></li>
 114 <li><img alt="" src="../images/down.gif" /> <a href="#sslsessionticketkeyfile">SSLSessionTicketKeyFile</a></li>
 115 <li><img alt="" src="../images/down.gif" /> <a href="#sslsessiontickets">SSLSessionTickets</a></li>
 116 <li><img alt="" src="../images/down.gif" /> <a href="#sslsrpunknownuserseed">SSLSRPUnknownUserSeed</a></li>
 117 <li><img alt="" src="../images/down.gif" /> <a href="#sslsrpverifierfile">SSLSRPVerifierFile</a></li>
 118 <li><img alt="" src="../images/down.gif" /> <a href="#sslstaplingcache">SSLStaplingCache</a></li>
 119 <li><img alt="" src="../images/down.gif" /> <a href="#sslstaplingerrorcachetimeout">SSLStaplingErrorCacheTimeout</a></li>
 120 <li><img alt="" src="../images/down.gif" /> <a href="#sslstaplingfaketrylater">SSLStaplingFakeTryLater</a></li>
 121 <li><img alt="" src="../images/down.gif" /> <a href="#sslstaplingforceurl">SSLStaplingForceURL</a></li>
 122 <li><img alt="" src="../images/down.gif" /> <a href="#sslstaplingrespondertimeout">SSLStaplingResponderTimeout</a></li>
 123 <li><img alt="" src="../images/down.gif" /> <a href="#sslstaplingresponsemaxage">SSLStaplingResponseMaxAge</a></li>
 124 <li><img alt="" src="../images/down.gif" /> <a href="#sslstaplingresponsetimeskew">SSLStaplingResponseTimeSkew</a></li>
 125 <li><img alt="" src="../images/down.gif" /> <a href="#sslstaplingreturnrespondererrors">SSLStaplingReturnResponderErrors</a></li>
 126 <li><img alt="" src="../images/down.gif" /> <a href="#sslstaplingstandardcachetimeout">SSLStaplingStandardCacheTimeout</a></li>
 127 <li><img alt="" src="../images/down.gif" /> <a href="#sslstrictsnivhostcheck">SSLStrictSNIVHostCheck</a></li>
 128 <li><img alt="" src="../images/down.gif" /> <a href="#sslusername">SSLUserName</a></li>
 129 <li><img alt="" src="../images/down.gif" /> <a href="#sslusestapling">SSLUseStapling</a></li>
 130 <li><img alt="" src="../images/down.gif" /> <a href="#sslverifyclient">SSLVerifyClient</a></li>
 131 <li><img alt="" src="../images/down.gif" /> <a href="#sslverifydepth">SSLVerifyDepth</a></li>
 132 </ul>
 133 <h3>Bugfix checklist</h3><ul class="seealso"><li><a href="https://www.apache.org/dist/httpd/CHANGES_2.4">httpd changelog</a></li><li><a href="https://bz.apache.org/bugzilla/buglist.cgi?bug_status=__open__&amp;list_id=144532&amp;product=Apache%20httpd-2&amp;query_format=specific&amp;order=changeddate%20DESC%2Cpriority%2Cbug_severity&amp;component=mod_ssl">Known issues</a></li><li><a href="https://bz.apache.org/bugzilla/enter_bug.cgi?product=Apache%20httpd-2&amp;component=mod_ssl">Report a bug</a></li></ul><h3>See also</h3>
 134 <ul class="seealso">
 135 <li><a href="#comments_section">Comments</a></li></ul></div>
 136 <div class="top"><a href="#page-header"><img alt="top" src="../images/up.gif" /></a></div>
 137 <div class="section">
 138 <h2><a name="envvars" id="envvars">Environment Variables</a></h2>
 139
 140 <p>This module can be configured to provide several items of SSL information
 141 as additional environment variables to the SSI and CGI namespace. This
 142 information is not provided by default for performance reasons. (See
 143 <code class="directive">SSLOptions</code> StdEnvVars, below.) The generated variables
 144 are listed in the table below. For backward compatibility the information can
 145 be made available under different names, too. Look in the <a href="../ssl/ssl_compat.html">Compatibility</a> chapter for details on the
 146 compatibility variables.</p>
 147
 148 <table class="bordered">
 149
 150 <tr>
 151  <th><a name="table3">Variable Name:</a></th>
 152  <th>Value Type:</th>
 153  <th>Description:</th>
 154 </tr>
 155 <tr><td><code>HTTPS</code></td>                         <td>flag</td>      <td>HTTPS is being used.</td></tr>
 156 <tr><td><code>SSL_PROTOCOL</code></td>                  <td>string</td>    <td>The SSL protocol version (SSLv3, TLSv1, TLSv1.1, TLSv1.2)</td></tr>
 157 <tr><td><code>SSL_SESSION_ID</code></td>                <td>string</td>    <td>The hex-encoded SSL session id</td></tr>
 158 <tr><td><code>SSL_SESSION_RESUMED</code></td>           <td>string</td>    <td>Initial or Resumed SSL Session.  Note: multiple requests may be served over the same (Initial or Resumed) SSL session if HTTP KeepAlive is in use</td></tr>
 159 <tr><td><code>SSL_SECURE_RENEG</code></td>              <td>string</td>    <td><code>true</code> if secure renegotiation is supported, else <code>false</code></td></tr>
 160 <tr><td><code>SSL_CIPHER</code></td>                    <td>string</td>    <td>The cipher specification name</td></tr>
 161 <tr><td><code>SSL_CIPHER_EXPORT</code></td>             <td>string</td>    <td><code>true</code> if cipher is an export cipher</td></tr>
 162 <tr><td><code>SSL_CIPHER_USEKEYSIZE</code></td>         <td>number</td>    <td>Number of cipher bits (actually used)</td></tr>
 163 <tr><td><code>SSL_CIPHER_ALGKEYSIZE</code></td>         <td>number</td>    <td>Number of cipher bits (possible)</td></tr>
 164 <tr><td><code>SSL_COMPRESS_METHOD</code></td>           <td>string</td>    <td>SSL compression method negotiated</td></tr>
 165 <tr><td><code>SSL_VERSION_INTERFACE</code></td>         <td>string</td>    <td>The mod_ssl program version</td></tr>
 166 <tr><td><code>SSL_VERSION_LIBRARY</code></td>           <td>string</td>    <td>The OpenSSL program version</td></tr>
 167 <tr><td><code>SSL_CLIENT_M_VERSION</code></td>          <td>string</td>    <td>The version of the client certificate</td></tr>
 168 <tr><td><code>SSL_CLIENT_M_SERIAL</code></td>           <td>string</td>    <td>The serial of the client certificate</td></tr>
 169 <tr><td><code>SSL_CLIENT_S_DN</code></td>               <td>string</td>    <td>Subject DN in client's certificate</td></tr>
 170 <tr><td><code>SSL_CLIENT_S_DN_</code><em>x509</em></td> <td>string</td>    <td>Component of client's Subject DN</td></tr>
 171 <tr><td><code>SSL_CLIENT_SAN_Email_</code><em>n</em></td> <td>string</td>  <td>Client certificate's subjectAltName extension entries of type rfc822Name</td></tr>
 172 <tr><td><code>SSL_CLIENT_SAN_DNS_</code><em>n</em></td> <td>string</td>    <td>Client certificate's subjectAltName extension entries of type dNSName</td></tr>
 173 <tr><td><code>SSL_CLIENT_SAN_OTHER_msUPN_</code><em>n</em></td> <td>string</td>    <td>Client certificate's subjectAltName extension entries of type otherName, Microsoft User Principal Name form (OID 1.3.6.1.4.1.311.20.2.3)</td></tr>
 174 <tr><td><code>SSL_CLIENT_I_DN</code></td>               <td>string</td>    <td>Issuer DN of client's certificate</td></tr>
 175 <tr><td><code>SSL_CLIENT_I_DN_</code><em>x509</em></td> <td>string</td>    <td>Component of client's Issuer DN</td></tr>
 176 <tr><td><code>SSL_CLIENT_V_START</code></td>            <td>string</td>    <td>Validity of client's certificate (start time)</td></tr>
 177 <tr><td><code>SSL_CLIENT_V_END</code></td>              <td>string</td>    <td>Validity of client's certificate (end time)</td></tr>
 178 <tr><td><code>SSL_CLIENT_V_REMAIN</code></td>           <td>string</td>    <td>Number of days until client's certificate expires</td></tr>
 179 <tr><td><code>SSL_CLIENT_A_SIG</code></td>              <td>string</td>    <td>Algorithm used for the signature of client's certificate</td></tr>
 180 <tr><td><code>SSL_CLIENT_A_KEY</code></td>              <td>string</td>    <td>Algorithm used for the public key of client's certificate</td></tr>
 181 <tr><td><code>SSL_CLIENT_CERT</code></td>               <td>string</td>    <td>PEM-encoded client certificate</td></tr>
 182 <tr><td><code>SSL_CLIENT_CERT_CHAIN_</code><em>n</em></td> <td>string</td>    <td>PEM-encoded certificates in client certificate chain</td></tr>
 183 <tr><td><code>SSL_CLIENT_CERT_RFC4523_CEA</code></td>   <td>string</td>    <td>Serial number and issuer of the certificate. The format matches that of the CertificateExactAssertion in RFC4523</td></tr>
 184 <tr><td><code>SSL_CLIENT_VERIFY</code></td>             <td>string</td>    <td><code>NONE</code>, <code>SUCCESS</code>, <code>GENEROUS</code> or <code>FAILED:</code><em>reason</em></td></tr>
 185 <tr><td><code>SSL_SERVER_M_VERSION</code></td>          <td>string</td>    <td>The version of the server certificate</td></tr>
 186 <tr><td><code>SSL_SERVER_M_SERIAL</code></td>           <td>string</td>    <td>The serial of the server certificate</td></tr>
 187 <tr><td><code>SSL_SERVER_S_DN</code></td>               <td>string</td>    <td>Subject DN in server's certificate</td></tr>
 188 <tr><td><code>SSL_SERVER_SAN_Email_</code><em>n</em></td> <td>string</td>  <td>Server certificate's subjectAltName extension entries of type rfc822Name</td></tr>
 189 <tr><td><code>SSL_SERVER_SAN_DNS_</code><em>n</em></td> <td>string</td>    <td>Server certificate's subjectAltName extension entries of type dNSName</td></tr>
 190 <tr><td><code>SSL_SERVER_SAN_OTHER_dnsSRV_</code><em>n</em></td> <td>string</td>    <td>Server certificate's subjectAltName extension entries of type otherName, SRVName form (OID 1.3.6.1.5.5.7.8.7, RFC 4985)</td></tr>
 191 <tr><td><code>SSL_SERVER_S_DN_</code><em>x509</em></td> <td>string</td>    <td>Component of server's Subject DN</td></tr>
 192 <tr><td><code>SSL_SERVER_I_DN</code></td>               <td>string</td>    <td>Issuer DN of server's certificate</td></tr>
 193 <tr><td><code>SSL_SERVER_I_DN_</code><em>x509</em></td> <td>string</td>    <td>Component of server's Issuer DN</td></tr>
 194 <tr><td><code>SSL_SERVER_V_START</code></td>            <td>string</td>    <td>Validity of server's certificate (start time)</td></tr>
 195 <tr><td><code>SSL_SERVER_V_END</code></td>              <td>string</td>    <td>Validity of server's certificate (end time)</td></tr>
 196 <tr><td><code>SSL_SERVER_A_SIG</code></td>              <td>string</td>    <td>Algorithm used for the signature of server's certificate</td></tr>
 197 <tr><td><code>SSL_SERVER_A_KEY</code></td>              <td>string</td>    <td>Algorithm used for the public key of server's certificate</td></tr>
 198 <tr><td><code>SSL_SERVER_CERT</code></td>               <td>string</td>    <td>PEM-encoded server certificate</td></tr>
 199 <tr><td><code>SSL_SRP_USER</code></td>                  <td>string</td>    <td>SRP username</td></tr>
 200 <tr><td><code>SSL_SRP_USERINFO</code></td>              <td>string</td>    <td>SRP user info</td></tr>
 201 <tr><td><code>SSL_TLS_SNI</code></td>                   <td>string</td>    <td>Contents of the SNI TLS extension (if supplied with ClientHello)</td></tr>
 202 </table>
 203
 204 <p><em>x509</em> specifies a component of an X.509 DN; one of
 205 <code>C,ST,L,O,OU,CN,T,I,G,S,D,UID,Email</code>.  In httpd 2.2.0 and
 206 later, <em>x509</em> may also include a numeric <code>_n</code>
 207 suffix.  If the DN in question contains multiple attributes of the
 208 same name, this suffix is used as a zero-based index to select a
 209 particular attribute.  For example, where the server certificate
 210 subject DN included two OU attributes, <code>SSL_SERVER_S_DN_OU_0</code>
 211 and
 212 <code>SSL_SERVER_S_DN_OU_1</code> could be used to reference each.  A
 213 variable name without a <code>_n</code> suffix is equivalent to that
 214 name with a <code>_0</code> suffix; the first (or only) attribute.
 215 When the environment table is populated using
 216 the <code>StdEnvVars</code> option of
 217 the <code class="directive"><a href="#ssloptions">SSLOptions</a></code> directive, the
 218 first (or only) attribute of any DN is added only under a non-suffixed
 219 name; i.e. no <code>_0</code> suffixed entries are added.</p>
 220
 221 <p>In httpd 2.5.0 and later, an optional <em>_RAW</em> suffix may be
 222 added to <em>x509</em> in a DN component, to suppress conversion of
 223 the attribute value to UTF-8. This must be placed after the index
 224 suffix (if any). For example, <code>SSL_SERVER_S_DN_OU_RAW</code> or
 225 <code>SSL_SERVER_S_DN_OU_0_RAW</code> could be used.</p>
 226
 227 <p>The format of the <em>*_DN</em> variables has changed in Apache HTTPD
 228 2.3.11. See the <code>LegacyDNStringFormat</code> option for
 229 <code class="directive"><a href="#ssloptions">SSLOptions</a></code> for details.</p>
 230
 231 <p><code>SSL_CLIENT_V_REMAIN</code> is only available in version 2.1
 232 and later.</p>
 233
 234 <p>A number of additional environment variables can also be used
 235 in <code class="directive">SSLRequire</code> expressions, or in custom log
 236 formats:</p>
 237
 238 <div class="note"><pre>HTTP_USER_AGENT        PATH_INFO             AUTH_TYPE
 239 HTTP_REFERER           QUERY_STRING          SERVER_SOFTWARE
 240 HTTP_COOKIE            REMOTE_HOST           API_VERSION
 241 HTTP_FORWARDED         REMOTE_IDENT          TIME_YEAR
 242 HTTP_HOST              IS_SUBREQ             TIME_MON
 243 HTTP_PROXY_CONNECTION  DOCUMENT_ROOT         TIME_DAY
 244 HTTP_ACCEPT            SERVER_ADMIN          TIME_HOUR
 245 THE_REQUEST            SERVER_NAME           TIME_MIN
 246 REQUEST_FILENAME       SERVER_PORT           TIME_SEC
 247 REQUEST_METHOD         SERVER_PROTOCOL       TIME_WDAY
 248 REQUEST_SCHEME         REMOTE_ADDR           TIME
 249 REQUEST_URI            REMOTE_USER</pre></div>
 250
 251 <p>In these contexts, two special formats can also be used:</p>
 252
 253 <dl>
 254   <dt><code>ENV:<em>variablename</em></code></dt>
 255   <dd>This will expand to the standard environment
 256   variable <em>variablename</em>.</dd>
 257
 258   <dt><code>HTTP:<em>headername</em></code></dt>
 259   <dd>This will expand to the value of the request header with name
 260   <em>headername</em>.</dd>
 261 </dl>
 262
 263 </div><div class="top"><a href="#page-header"><img alt="top" src="../images/up.gif" /></a></div>
 264 <div class="section">
 265 <h2><a name="logformats" id="logformats">Custom Log Formats</a></h2>
 266
 267 <p>When <code class="module"><a href="../mod/mod_ssl.html">mod_ssl</a></code> is built into Apache or at least
 268 loaded (under DSO situation) additional functions exist for the <a href="mod_log_config.html#formats">Custom Log Format</a> of
 269 <code class="module"><a href="../mod/mod_log_config.html">mod_log_config</a></code>. First there is an
 270 additional ``<code>%{</code><em>varname</em><code>}x</code>''
 271 eXtension format function which can be used to expand any variables
 272 provided by any module, especially those provided by mod_ssl which can
 273 you find in the above table.</p>
 274 <p>
 275 For backward compatibility there is additionally a special
 276 ``<code>%{</code><em>name</em><code>}c</code>'' cryptography format function
 277 provided. Information about this function is provided in the <a href="../ssl/ssl_compat.html">Compatibility</a> chapter.</p>
 278 <div class="example"><h3>Example</h3><pre class="prettyprint lang-config">CustomLog "logs/ssl_request_log" "%t %h %{SSL_PROTOCOL}x %{SSL_CIPHER}x \"%r\" %b"</pre>
 279 </div>
 280 <p>These formats even work without setting the <code>StdEnvVars</code>
 281 option of the <code class="directive"><a href="#ssloptions">SSLOptions</a></code>
 282 directive.</p>
 283 </div><div class="top"><a href="#page-header"><img alt="top" src="../images/up.gif" /></a></div>
 284 <div class="section">
 285 <h2><a name="notes" id="notes">Request Notes</a></h2>
 286
 287 <p><code class="module"><a href="../mod/mod_ssl.html">mod_ssl</a></code> sets "notes" for the request which can be
 288 used in logging with the <code>%{<em>name</em>}n</code> format
 289 string in <code class="module"><a href="../mod/mod_log_config.html">mod_log_config</a></code>.</p>
 290
 291 <p>The notes supported are as follows:</p>
 292
 293 <dl>
 294   <dt><code>ssl-access-forbidden</code></dt>
 295   <dd>This note is set to the value <code>1</code> if access was
 296   denied due to an <code class="directive">SSLRequire</code>
 297   or <code class="directive">SSLRequireSSL</code> directive.</dd>
 298
 299   <dt><code>ssl-secure-reneg</code></dt>
 300   <dd>If <code class="module"><a href="../mod/mod_ssl.html">mod_ssl</a></code> is built against a version of
 301   OpenSSL which supports the secure renegotiation extension, this note
 302   is set to the value <code>1</code> if SSL is in used for the current
 303   connection, and the client also supports the secure renegotiation
 304   extension.  If the client does not support the secure renegotiation
 305   extension, the note is set to the value <code>0</code>.
 306   If <code class="module"><a href="../mod/mod_ssl.html">mod_ssl</a></code> is not built against a version of
 307   OpenSSL which supports secure renegotiation, or if SSL is not in use
 308   for the current connection, the note is not set.</dd>
 309 </dl>
 310
 311 </div><div class="top"><a href="#page-header"><img alt="top" src="../images/up.gif" /></a></div>
 312 <div class="section">
 313 <h2><a name="expressionparser" id="expressionparser">Expression Parser Extension</a></h2>
 314
 315 <p>When <code class="module"><a href="../mod/mod_ssl.html">mod_ssl</a></code> is built into Apache or at least
 316 loaded (under DSO situation) any <a name="envvars">variables</a>
 317 provided by <code class="module"><a href="../mod/mod_ssl.html">mod_ssl</a></code> can be used in expressions
 318 for the <a href="../expr.html">ap_expr Expression Parser</a>.
 319 The variables can be referenced using the syntax
 320 ``<code>%{</code><em>varname</em><code>}</code>''. Starting
 321 with version 2.4.18 one can also use the
 322 <code class="module"><a href="../mod/mod_rewrite.html">mod_rewrite</a></code> style syntax
 323 ``<code>%{SSL:</code><em>varname</em><code>}</code>'' or
 324 the function style syntax
 325 ``<code>ssl(</code><em>varname</em><code>)</code>''.</p>
 326 <div class="example"><h3>Example (using <code class="module"><a href="../mod/mod_headers.html">mod_headers</a></code>)</h3><pre class="prettyprint lang-config">Header set X-SSL-PROTOCOL "expr=%{SSL_PROTOCOL}"
 327 Header set X-SSL-CIPHER "expr=%{SSL:SSL_CIPHER}"</pre>
 328 </div>
 329 <p>This feature even works without setting the <code>StdEnvVars</code>
 330 option of the <code class="directive"><a href="#ssloptions">SSLOptions</a></code>
 331 directive.</p>
 332 </div><div class="top"><a href="#page-header"><img alt="top" src="../images/up.gif" /></a></div>
 333 <div class="section">
 334 <h2><a name="authzproviders" id="authzproviders">Authorization providers for use with Require</a></h2>
 335
 336   <p><code class="module"><a href="../mod/mod_ssl.html">mod_ssl</a></code> provides a few authentication providers for use
 337   with <code class="module"><a href="../mod/mod_authz_core.html">mod_authz_core</a></code>'s
 338   <code class="directive"><a href="../mod/mod_authz_core.html#require">Require</a></code> directive.</p>
 339
 340   <h3><a name="reqssl" id="reqssl">Require ssl</a></h3>
 341
 342     <p>The <code>ssl</code> provider denies access if a connection is not
 343        encrypted with SSL. This is similar to the
 344        <code class="directive">SSLRequireSSL</code> directive.</p>
 345
 346     <pre class="prettyprint lang-config">Require ssl</pre>
 347
 348
 349
 350
 351   <h3><a name="reqverifyclient" id="reqverifyclient">Require ssl-verify-client</a></h3>
 352
 353     <p>The <code>ssl</code> provider allows access if the user is
 354        authenticated with a valid client certificate. This is only
 355        useful if <code>SSLVerifyClient optional</code> is in effect.</p>
 356
 357     <p>The following example grants access if the user is authenticated
 358        either with a client certificate or by username and password.</p>
 359
 360     <pre class="prettyprint lang-config">Require ssl-verify-client
 361 Require valid-user</pre>
 362
 363
 364
 365
 366 </div>
 367 <div class="top"><a href="#page-header"><img alt="top" src="../images/up.gif" /></a></div>
 368 <div class="directive-section"><h2><a name="SSLCACertificateFile" id="SSLCACertificateFile">SSLCACertificateFile</a> <a name="sslcacertificatefile" id="sslcacertificatefile">Directive</a></h2>
 369 <table class="directive">
 370 <tr><th><a href="directive-dict.html#Description">Description:</a></th><td>File of concatenated PEM-encoded CA Certificates
 371 for Client Auth</td></tr>
 372 <tr><th><a href="directive-dict.html#Syntax">Syntax:</a></th><td><code>SSLCACertificateFile <em>file-path</em></code></td></tr>
 373 <tr><th><a href="directive-dict.html#Context">Context:</a></th><td>server config, virtual host</td></tr>
 374 <tr><th><a href="directive-dict.html#Override">Override:</a></th><td>AuthConfig</td></tr>
 375 <tr><th><a href="directive-dict.html#Status">Status:</a></th><td>Extension</td></tr>
 376 <tr><th><a href="directive-dict.html#Module">Module:</a></th><td>mod_ssl</td></tr>
 377 </table>
 378 <p>
 379 This directive sets the <em>all-in-one</em> file where you can assemble the
 380 Certificates of Certification Authorities (CA) whose <em>clients</em> you deal
 381 with. These are used for Client Authentication. Such a file is simply the
 382 concatenation of the various PEM-encoded Certificate files, in order of
 383 preference. This can be used alternatively and/or additionally to
 384 <code class="directive"><a href="#sslcacertificatepath">SSLCACertificatePath</a></code>.</p>
 385 <div class="example"><h3>Example</h3><pre class="prettyprint lang-config">SSLCACertificateFile "/usr/local/apache2/conf/ssl.crt/ca-bundle-client.crt"</pre>
 386 </div>
 387
 388 </div>
 389 <div class="top"><a href="#page-header"><img alt="top" src="../images/up.gif" /></a></div>
 390 <div class="directive-section"><h2><a name="SSLCACertificatePath" id="SSLCACertificatePath">SSLCACertificatePath</a> <a name="sslcacertificatepath" id="sslcacertificatepath">Directive</a></h2>
 391 <table class="directive">
 392 <tr><th><a href="directive-dict.html#Description">Description:</a></th><td>Directory of PEM-encoded CA Certificates for
 393 Client Auth</td></tr>
 394 <tr><th><a href="directive-dict.html#Syntax">Syntax:</a></th><td><code>SSLCACertificatePath <em>directory-path</em></code></td></tr>
 395 <tr><th><a href="directive-dict.html#Context">Context:</a></th><td>server config, virtual host</td></tr>
 396 <tr><th><a href="directive-dict.html#Override">Override:</a></th><td>AuthConfig</td></tr>
 397 <tr><th><a href="directive-dict.html#Status">Status:</a></th><td>Extension</td></tr>
 398 <tr><th><a href="directive-dict.html#Module">Module:</a></th><td>mod_ssl</td></tr>
 399 </table>
 400 <p>
 401 This directive sets the directory where you keep the Certificates of
 402 Certification Authorities (CAs) whose clients you deal with. These are used to
 403 verify the client certificate on Client Authentication.</p>
 404 <p>
 405 The files in this directory have to be PEM-encoded and are accessed through
 406 hash filenames. So usually you can't just place the Certificate files
 407 there: you also have to create symbolic links named
 408 <em>hash-value</em><code>.N</code>. And you should always make sure this directory
 409 contains the appropriate symbolic links.</p>
 410 <div class="example"><h3>Example</h3><pre class="prettyprint lang-config">SSLCACertificatePath "/usr/local/apache2/conf/ssl.crt/"</pre>
 411 </div>
 412
 413 </div>
 414 <div class="top"><a href="#page-header"><img alt="top" src="../images/up.gif" /></a></div>
 415 <div class="directive-section"><h2><a name="SSLCADNRequestFile" id="SSLCADNRequestFile">SSLCADNRequestFile</a> <a name="sslcadnrequestfile" id="sslcadnrequestfile">Directive</a></h2>
 416 <table class="directive">
 417 <tr><th><a href="directive-dict.html#Description">Description:</a></th><td>File of concatenated PEM-encoded CA Certificates
 418 for defining acceptable CA names</td></tr>
 419 <tr><th><a href="directive-dict.html#Syntax">Syntax:</a></th><td><code>SSLCADNRequestFile <em>file-path</em></code></td></tr>
 420 <tr><th><a href="directive-dict.html#Context">Context:</a></th><td>server config, virtual host</td></tr>
 421 <tr><th><a href="directive-dict.html#Status">Status:</a></th><td>Extension</td></tr>
 422 <tr><th><a href="directive-dict.html#Module">Module:</a></th><td>mod_ssl</td></tr>
 423 </table>
 424 <p>When a client certificate is requested by mod_ssl, a list of
 425 <em>acceptable Certificate Authority names</em> is sent to the client
 426 in the SSL handshake.  These CA names can be used by the client to
 427 select an appropriate client certificate out of those it has
 428 available.</p>
 429
 430 <p>If neither of the directives <code class="directive"><a href="#sslcadnrequestpath">SSLCADNRequestPath</a></code> or <code class="directive"><a href="#sslcadnrequestfile">SSLCADNRequestFile</a></code> are given, then the
 431 set of acceptable CA names sent to the client is the names of all the
 432 CA certificates given by the <code class="directive"><a href="#sslcacertificatefile">SSLCACertificateFile</a></code> and <code class="directive"><a href="#sslcacertificatepath">SSLCACertificatePath</a></code> directives; in other
 433 words, the names of the CAs which will actually be used to verify the
 434 client certificate.</p>
 435
 436 <p>In some circumstances, it is useful to be able to send a set of
 437 acceptable CA names which differs from the actual CAs used to verify
 438 the client certificate - for example, if the client certificates are
 439 signed by intermediate CAs.  In such cases, <code class="directive"><a href="#sslcadnrequestpath">SSLCADNRequestPath</a></code> and/or <code class="directive"><a href="#sslcadnrequestfile">SSLCADNRequestFile</a></code> can be used; the
 440 acceptable CA names are then taken from the complete set of
 441 certificates in the directory and/or file specified by this pair of
 442 directives.</p>
 443
 444 <p><code class="directive"><a href="#sslcadnrequestfile">SSLCADNRequestFile</a></code> must
 445 specify an <em>all-in-one</em> file containing a concatenation of
 446 PEM-encoded CA certificates.</p>
 447
 448 <div class="example"><h3>Example</h3><pre class="prettyprint lang-config">SSLCADNRequestFile "/usr/local/apache2/conf/ca-names.crt"</pre>
 449 </div>
 450
 451 </div>
 452 <div class="top"><a href="#page-header"><img alt="top" src="../images/up.gif" /></a></div>
 453 <div class="directive-section"><h2><a name="SSLCADNRequestPath" id="SSLCADNRequestPath">SSLCADNRequestPath</a> <a name="sslcadnrequestpath" id="sslcadnrequestpath">Directive</a></h2>
 454 <table class="directive">
 455 <tr><th><a href="directive-dict.html#Description">Description:</a></th><td>Directory of PEM-encoded CA Certificates for
 456 defining acceptable CA names</td></tr>
 457 <tr><th><a href="directive-dict.html#Syntax">Syntax:</a></th><td><code>SSLCADNRequestPath <em>directory-path</em></code></td></tr>
 458 <tr><th><a href="directive-dict.html#Context">Context:</a></th><td>server config, virtual host</td></tr>
 459 <tr><th><a href="directive-dict.html#Status">Status:</a></th><td>Extension</td></tr>
 460 <tr><th><a href="directive-dict.html#Module">Module:</a></th><td>mod_ssl</td></tr>
 461 </table>
 462
 463 <p>This optional directive can be used to specify the set of
 464 <em>acceptable CA names</em> which will be sent to the client when a
 465 client certificate is requested.  See the <code class="directive"><a href="#sslcadnrequestfile">SSLCADNRequestFile</a></code> directive for more
 466 details.</p>
 467
 468 <p>The files in this directory have to be PEM-encoded and are accessed
 469 through hash filenames. So usually you can't just place the
 470 Certificate files there: you also have to create symbolic links named
 471 <em>hash-value</em><code>.N</code>. And you should always make sure
 472 this directory contains the appropriate symbolic links.</p>
 473 <div class="example"><h3>Example</h3><pre class="prettyprint lang-config">SSLCADNRequestPath "/usr/local/apache2/conf/ca-names.crt/"</pre>
 474 </div>
 475
 476 </div>
 477 <div class="top"><a href="#page-header"><img alt="top" src="../images/up.gif" /></a></div>
 478 <div class="directive-section"><h2><a name="SSLCARevocationCheck" id="SSLCARevocationCheck">SSLCARevocationCheck</a> <a name="sslcarevocationcheck" id="sslcarevocationcheck">Directive</a></h2>
 479 <table class="directive">
 480 <tr><th><a href="directive-dict.html#Description">Description:</a></th><td>Enable CRL-based revocation checking</td></tr>
 481 <tr><th><a href="directive-dict.html#Syntax">Syntax:</a></th><td><code>SSLCARevocationCheck chain|leaf|none <em>flag</em>s</code></td></tr>
 482 <tr><th><a href="directive-dict.html#Default">Default:</a></th><td><code>SSLCARevocationCheck none</code></td></tr>
 483 <tr><th><a href="directive-dict.html#Context">Context:</a></th><td>server config, virtual host</td></tr>
 484 <tr><th><a href="directive-dict.html#Status">Status:</a></th><td>Extension</td></tr>
 485 <tr><th><a href="directive-dict.html#Module">Module:</a></th><td>mod_ssl</td></tr>
 486 <tr><th><a href="directive-dict.html#Compatibility">Compatibility:</a></th><td>Optional <em>flag</em>s available in httpd 2.4.21 or
 487 later</td></tr>
 488 </table>
 489 <p>
 490 Enables certificate revocation list (CRL) checking. At least one of
 491 <code class="directive"><a href="#sslcarevocationfile">SSLCARevocationFile</a></code>
 492 or <code class="directive"><a href="#sslcarevocationpath">SSLCARevocationPath</a></code> must be
 493 configured. When set to <code>chain</code> (recommended setting),
 494 CRL checks are applied to all certificates in the chain, while setting it to
 495 <code>leaf</code> limits the checks to the end-entity cert.
 496 </p>
 497 <p>The available <em>flag</em>s are:</p>
 498 <ul>
 499 <li><code>no_crl_for_cert_ok</code>
 500     <p>
 501     Prior to version 2.3.15, CRL checking in mod_ssl also succeeded when
 502     no CRL(s) for the checked certificate(s) were found in any of the locations
 503     configured with <code class="directive"><a href="#sslcarevocationfile">SSLCARevocationFile</a></code>
 504     or <code class="directive"><a href="#sslcarevocationpath">SSLCARevocationPath</a></code>.
 505     </p>
 506     <p>
 507     With the introduction of <code class="directive">SSLCARevocationFile</code>,
 508     the behavior has been changed: by default with <code>chain</code> or
 509     <code>leaf</code>, CRLs <strong>must</strong> be present for the
 510     validation to succeed - otherwise it will fail with an
 511     <code>"unable to get certificate CRL"</code> error.
 512     </p>
 513     <p>
 514     The <em>flag</em> <code>no_crl_for_cert_ok</code> allows to restore
 515     previous behaviour.
 516     </p>
 517 </li>
 518 </ul>
 519 <div class="example"><h3>Example</h3><pre class="prettyprint lang-config">SSLCARevocationCheck chain</pre>
 520 </div>
 521 <div class="example"><h3>Compatibility with versions 2.2</h3><pre class="prettyprint lang-config">SSLCARevocationCheck chain no_crl_for_cert_ok</pre>
 522 </div>
 523
 524 </div>
 525 <div class="top"><a href="#page-header"><img alt="top" src="../images/up.gif" /></a></div>
 526 <div class="directive-section"><h2><a name="SSLCARevocationFile" id="SSLCARevocationFile">SSLCARevocationFile</a> <a name="sslcarevocationfile" id="sslcarevocationfile">Directive</a></h2>
 527 <table class="directive">
 528 <tr><th><a href="directive-dict.html#Description">Description:</a></th><td>File of concatenated PEM-encoded CA CRLs for
 529 Client Auth</td></tr>
 530 <tr><th><a href="directive-dict.html#Syntax">Syntax:</a></th><td><code>SSLCARevocationFile <em>file-path</em></code></td></tr>
 531 <tr><th><a href="directive-dict.html#Context">Context:</a></th><td>server config, virtual host</td></tr>
 532 <tr><th><a href="directive-dict.html#Status">Status:</a></th><td>Extension</td></tr>
 533 <tr><th><a href="directive-dict.html#Module">Module:</a></th><td>mod_ssl</td></tr>
 534 </table>
 535 <p>
 536 This directive sets the <em>all-in-one</em> file where you can
 537 assemble the Certificate Revocation Lists (CRL) of Certification
 538 Authorities (CA) whose <em>clients</em> you deal with. These are used
 539 for Client Authentication.  Such a file is simply the concatenation of
 540 the various PEM-encoded CRL files, in order of preference. This can be
 541 used alternatively and/or additionally to <code class="directive"><a href="#sslcarevocationpath">SSLCARevocationPath</a></code>.</p>
 542 <div class="example"><h3>Example</h3><pre class="prettyprint lang-config">SSLCARevocationFile "/usr/local/apache2/conf/ssl.crl/ca-bundle-client.crl"</pre>
 543 </div>
 544
 545 </div>
 546 <div class="top"><a href="#page-header"><img alt="top" src="../images/up.gif" /></a></div>
 547 <div class="directive-section"><h2><a name="SSLCARevocationPath" id="SSLCARevocationPath">SSLCARevocationPath</a> <a name="sslcarevocationpath" id="sslcarevocationpath">Directive</a></h2>
 548 <table class="directive">
 549 <tr><th><a href="directive-dict.html#Description">Description:</a></th><td>Directory of PEM-encoded CA CRLs for
 550 Client Auth</td></tr>
 551 <tr><th><a href="directive-dict.html#Syntax">Syntax:</a></th><td><code>SSLCARevocationPath <em>directory-path</em></code></td></tr>
 552 <tr><th><a href="directive-dict.html#Context">Context:</a></th><td>server config, virtual host</td></tr>
 553 <tr><th><a href="directive-dict.html#Status">Status:</a></th><td>Extension</td></tr>
 554 <tr><th><a href="directive-dict.html#Module">Module:</a></th><td>mod_ssl</td></tr>
 555 </table>
 556 <p>
 557 This directive sets the directory where you keep the Certificate Revocation
 558 Lists (CRL) of Certification Authorities (CAs) whose clients you deal with.
 559 These are used to revoke the client certificate on Client Authentication.</p>
 560 <p>
 561 The files in this directory have to be PEM-encoded and are accessed through
 562 hash filenames. So usually you have not only to place the CRL files there.
 563 Additionally you have to create symbolic links named
 564 <em>hash-value</em><code>.rN</code>. And you should always make sure this directory
 565 contains the appropriate symbolic links.</p>
 566 <div class="example"><h3>Example</h3><pre class="prettyprint lang-config">SSLCARevocationPath "/usr/local/apache2/conf/ssl.crl/"</pre>
 567 </div>
 568
 569 </div>
 570 <div class="top"><a href="#page-header"><img alt="top" src="../images/up.gif" /></a></div>
 571 <div class="directive-section"><h2><a name="SSLCertificateChainFile" id="SSLCertificateChainFile">SSLCertificateChainFile</a> <a name="sslcertificatechainfile" id="sslcertificatechainfile">Directive</a></h2>
 572 <table class="directive">
 573 <tr><th><a href="directive-dict.html#Description">Description:</a></th><td>File of PEM-encoded Server CA Certificates</td></tr>
 574 <tr><th><a href="directive-dict.html#Syntax">Syntax:</a></th><td><code>SSLCertificateChainFile <em>file-path</em></code></td></tr>
 575 <tr><th><a href="directive-dict.html#Context">Context:</a></th><td>server config, virtual host</td></tr>
 576 <tr><th><a href="directive-dict.html#Status">Status:</a></th><td>Extension</td></tr>
 577 <tr><th><a href="directive-dict.html#Module">Module:</a></th><td>mod_ssl</td></tr>
 578 </table>
 579 <div class="note"><h3>SSLCertificateChainFile is deprecated</h3>
 580 <p><code>SSLCertificateChainFile</code> became obsolete with version 2.4.8,
 581 when <code class="directive"><a href="#sslcertificatefile">SSLCertificateFile</a></code>
 582 was extended to also load intermediate CA certificates from the server
 583 certificate file.</p>
 584 </div>
 585
 586 <p>
 587 This directive sets the optional <em>all-in-one</em> file where you can
 588 assemble the certificates of Certification Authorities (CA) which form the
 589 certificate chain of the server certificate. This starts with the issuing CA
 590 certificate of the server certificate and can range up to the root CA
 591 certificate. Such a file is simply the concatenation of the various
 592 PEM-encoded CA Certificate files, usually in certificate chain order.</p>
 593 <p>
 594 This should be used alternatively and/or additionally to <code class="directive"><a href="#sslcacertificatepath">SSLCACertificatePath</a></code> for explicitly
 595 constructing the server certificate chain which is sent to the browser
 596 in addition to the server certificate. It is especially useful to
 597 avoid conflicts with CA certificates when using client
 598 authentication. Because although placing a CA certificate of the
 599 server certificate chain into <code class="directive"><a href="#sslcacertificatepath">SSLCACertificatePath</a></code> has the same effect
 600 for the certificate chain construction, it has the side-effect that
 601 client certificates issued by this same CA certificate are also
 602 accepted on client authentication.</p>
 603 <p>
 604 But be careful: Providing the certificate chain works only if you are using a
 605 <em>single</em> RSA <em>or</em> DSA based server certificate. If you are
 606 using a coupled RSA+DSA certificate pair, this will work only if actually both
 607 certificates use the <em>same</em> certificate chain. Else the browsers will be
 608 confused in this situation.</p>
 609 <div class="example"><h3>Example</h3><pre class="prettyprint lang-config">SSLCertificateChainFile "/usr/local/apache2/conf/ssl.crt/ca.crt"</pre>
 610 </div>
 611
 612 </div>
 613 <div class="top"><a href="#page-header"><img alt="top" src="../images/up.gif" /></a></div>
 614 <div class="directive-section"><h2><a name="SSLCertificateFile" id="SSLCertificateFile">SSLCertificateFile</a> <a name="sslcertificatefile" id="sslcertificatefile">Directive</a></h2>
 615 <table class="directive">
 616 <tr><th><a href="directive-dict.html#Description">Description:</a></th><td>Server PEM-encoded X.509 certificate data file</td></tr>
 617 <tr><th><a href="directive-dict.html#Syntax">Syntax:</a></th><td><code>SSLCertificateFile <em>file-path</em></code></td></tr>
 618 <tr><th><a href="directive-dict.html#Context">Context:</a></th><td>server config, virtual host</td></tr>
 619 <tr><th><a href="directive-dict.html#Status">Status:</a></th><td>Extension</td></tr>
 620 <tr><th><a href="directive-dict.html#Module">Module:</a></th><td>mod_ssl</td></tr>
 621 </table>
 622 <p>
 623 This directive points to a file with certificate data in PEM format.
 624 At a minimum, the file must include an end-entity (leaf) certificate.
 625 The directive can be used multiple times (referencing different filenames)
 626 to support multiple algorithms for server authentication - typically
 627 RSA, DSA, and ECC. The number of supported algorithms depends on the
 628 OpenSSL version being used for mod_ssl: with version 1.0.0 or later,
 629 <code>openssl list-public-key-algorithms</code> will output a list
 630 of supported algorithms, see also the note below about limitations
 631 of OpenSSL versions prior to 1.0.2 and the ways to work around them.
 632 </p>
 633
 634 <p>
 635 The files may also include intermediate CA certificates, sorted from
 636 leaf to root. This is supported with version 2.4.8 and later,
 637 and obsoletes <code class="directive"><a href="#sslcertificatechainfile">SSLCertificateChainFile</a></code>.
 638 When running with OpenSSL 1.0.2 or later, this allows
 639 to configure the intermediate CA chain on a per-certificate basis.
 640 </p>
 641
 642 <p>
 643 Custom DH parameters and an EC curve name for ephemeral keys,
 644 can also be added to end of the first file configured using
 645 <code class="directive"><a href="#sslcertificatefile">SSLCertificateFile</a></code>.
 646 This is supported in version 2.4.7 or later.
 647 Such parameters can be generated using the commands
 648 <code>openssl dhparam</code> and <code>openssl ecparam</code>.
 649 The parameters can be added as-is to the end of the first
 650 certificate file. Only the first file can be used for custom
 651 parameters, as they are applied independently of the authentication
 652 algorithm type.
 653 </p>
 654
 655 <p>
 656 Finally the end-entity certificate's private key can also be
 657 added to the certificate file instead of using a separate
 658 <code class="directive"><a href="#sslcertificatekeyfile">SSLCertificateKeyFile</a></code>
 659 directive. This practice is highly discouraged. If it is used,
 660 the certificate files using such an embedded key must be configured
 661 after the certificates using a separate key file. If the private
 662 key is encrypted, the pass phrase dialog is forced at startup time.
 663 </p>
 664
 665 <div class="note">
 666 <h3>DH parameter interoperability with primes &gt; 1024 bit</h3>
 667 <p>
 668 Beginning with version 2.4.7, mod_ssl makes use of
 669 standardized DH parameters with prime lengths of 2048, 3072 and 4096 bits
 670 and with additional prime lengths of 6144 and 8192 bits beginning with
 671 version 2.4.10
 672 (from <a href="http://www.ietf.org/rfc/rfc3526.txt">RFC 3526</a>), and hands
 673 them out to clients based on the length of the certificate's RSA/DSA key.
 674 With Java-based clients in particular (Java 7 or earlier), this may lead
 675 to handshake failures - see this
 676 <a href="../ssl/ssl_faq.html#javadh">FAQ answer</a> for working around
 677 such issues.
 678 </p>
 679 </div>
 680
 681 <div class="note">
 682 <h3>Default DH parameters when using multiple certificates and OpenSSL
 683 versions prior to 1.0.2</h3>
 684 <p>
 685 When using multiple certificates to support different authentication algorithms
 686 (like RSA, DSA, but mainly ECC) and OpenSSL prior to 1.0.2, it is recommended
 687 to either use custom DH parameters (preferably) by adding them to the
 688 first certificate file (as described above), or to order the
 689 <code class="directive">SSLCertificateFile</code> directives such that RSA/DSA
 690 certificates are placed <strong>after</strong> the ECC one.
 691 </p>
 692 <p>
 693 This is due to a limitation in older versions of OpenSSL which don't let the
 694 Apache HTTP Server determine the currently selected certificate at handshake
 695 time (when the DH parameters must be sent to the peer) but instead always
 696 provide the last configured certificate. Consequently, the server may select
 697 default DH parameters based on the length of the wrong certificate's key (ECC
 698 keys are much smaller than RSA/DSA ones and their length is not relevant for
 699 selecting DH primes).
 700 </p>
 701 <p>
 702 Since custom DH parameters always take precedence over the default ones, this
 703 issue can be avoided by creating and configuring them (as described above),
 704 thus using a custom/suitable length.
 705 </p>
 706 </div>
 707
 708 <div class="example"><h3>Example</h3><pre class="prettyprint lang-config">SSLCertificateFile "/usr/local/apache2/conf/ssl.crt/server.crt"</pre>
 709 </div>
 710
 711 </div>
 712 <div class="top"><a href="#page-header"><img alt="top" src="../images/up.gif" /></a></div>
 713 <div class="directive-section"><h2><a name="SSLCertificateKeyFile" id="SSLCertificateKeyFile">SSLCertificateKeyFile</a> <a name="sslcertificatekeyfile" id="sslcertificatekeyfile">Directive</a></h2>
 714 <table class="directive">
 715 <tr><th><a href="directive-dict.html#Description">Description:</a></th><td>Server PEM-encoded private key file</td></tr>
 716 <tr><th><a href="directive-dict.html#Syntax">Syntax:</a></th><td><code>SSLCertificateKeyFile <em>file-path</em></code></td></tr>
 717 <tr><th><a href="directive-dict.html#Context">Context:</a></th><td>server config, virtual host</td></tr>
 718 <tr><th><a href="directive-dict.html#Status">Status:</a></th><td>Extension</td></tr>
 719 <tr><th><a href="directive-dict.html#Module">Module:</a></th><td>mod_ssl</td></tr>
 720 </table>
 721 <p>
 722 This directive points to the PEM-encoded private key file for the
 723 server. If the contained private key is encrypted, the pass phrase
 724 dialog is forced at startup time.</p>
 725
 726 <p>
 727 The directive can be used multiple times (referencing different filenames)
 728 to support multiple algorithms for server authentication. For each
 729 <code class="directive"><a href="#sslcertificatekeyfile">SSLCertificateKeyFile</a></code>
 730 directive, there must be a matching <code class="directive">SSLCertificateFile</code>
 731 directive.</p>
 732
 733 <p>
 734 The private key may also be combined with the certificate in the file given by
 735 <code class="directive"><a href="#sslcertificatefile">SSLCertificateFile</a></code>, but this practice
 736 is highly discouraged. If it is used, the certificate files using such
 737 an embedded key must be configured after the certificates using a separate
 738 key file.</p>
 739
 740 <div class="example"><h3>Example</h3><pre class="prettyprint lang-config">SSLCertificateKeyFile "/usr/local/apache2/conf/ssl.key/server.key"</pre>
 741 </div>
 742
 743 </div>
 744 <div class="top"><a href="#page-header"><img alt="top" src="../images/up.gif" /></a></div>
 745 <div class="directive-section"><h2><a name="SSLCipherSuite" id="SSLCipherSuite">SSLCipherSuite</a> <a name="sslciphersuite" id="sslciphersuite">Directive</a></h2>
 746 <table class="directive">
 747 <tr><th><a href="directive-dict.html#Description">Description:</a></th><td>Cipher Suite available for negotiation in SSL
 748 handshake</td></tr>
 749 <tr><th><a href="directive-dict.html#Syntax">Syntax:</a></th><td><code>SSLCipherSuite <em>cipher-spec</em></code></td></tr>
 750 <tr><th><a href="directive-dict.html#Default">Default:</a></th><td><code>SSLCipherSuite DEFAULT (depends on OpenSSL version)</code></td></tr>
 751 <tr><th><a href="directive-dict.html#Context">Context:</a></th><td>server config, virtual host, directory, .htaccess</td></tr>
 752 <tr><th><a href="directive-dict.html#Override">Override:</a></th><td>AuthConfig</td></tr>
 753 <tr><th><a href="directive-dict.html#Status">Status:</a></th><td>Extension</td></tr>
 754 <tr><th><a href="directive-dict.html#Module">Module:</a></th><td>mod_ssl</td></tr>
 755 </table>
 756 <p>
 757 This complex directive uses a colon-separated <em>cipher-spec</em> string
 758 consisting of OpenSSL cipher specifications to configure the Cipher Suite the
 759 client is permitted to negotiate in the SSL handshake phase. Notice that this
 760 directive can be used both in per-server and per-directory context. In
 761 per-server context it applies to the standard SSL handshake when a connection
 762 is established. In per-directory context it forces a SSL renegotiation with the
 763 reconfigured Cipher Suite after the HTTP request was read but before the HTTP
 764 response is sent.</p>
 765 <p>
 766 An SSL cipher specification in <em>cipher-spec</em> is composed of 4 major
 767 attributes plus a few extra minor ones:</p>
 768 <ul>
 769 <li><em>Key Exchange Algorithm</em>:<br />
 770     RSA, Diffie-Hellman, Elliptic Curve Diffie-Hellman, Secure Remote Password
 771 </li>
 772 <li><em>Authentication Algorithm</em>:<br />
 773     RSA, Diffie-Hellman, DSS, ECDSA, or none.
 774 </li>
 775 <li><em>Cipher/Encryption Algorithm</em>:<br />
 776     AES, DES, Triple-DES, RC4, RC2, IDEA, etc.
 777 </li>
 778 <li><em>MAC Digest Algorithm</em>:<br />
 779     MD5, SHA or SHA1, SHA256, SHA384.
 780 </li>
 781 </ul>
 782 <p>An SSL cipher can also be an export cipher. SSLv2 ciphers are no longer
 783 supported. To specify which ciphers to use, one can either specify all the
 784 Ciphers, one at a time, or use aliases to specify the preference and order
 785 for the ciphers (see <a href="#table1">Table
 786 1</a>). The actually available ciphers and aliases depends on the used
 787 openssl version. Newer openssl versions may include additional ciphers.</p>
 788
 789 <table class="bordered">
 790
 791 <tr><th><a name="table1">Tag</a></th> <th>Description</th></tr>
 792 <tr><td colspan="2"><em>Key Exchange Algorithm:</em></td></tr>
 793 <tr><td><code>kRSA</code></td>   <td>RSA key exchange</td></tr>
 794 <tr><td><code>kDHr</code></td>   <td>Diffie-Hellman key exchange with RSA key</td></tr>
 795 <tr><td><code>kDHd</code></td>   <td>Diffie-Hellman key exchange with DSA key</td></tr>
 796 <tr><td><code>kEDH</code></td>   <td>Ephemeral (temp.key) Diffie-Hellman key exchange (no cert)</td>   </tr>
 797 <tr><td><code>kSRP</code></td>   <td>Secure Remote Password (SRP) key exchange</td></tr>
 798 <tr><td colspan="2"><em>Authentication Algorithm:</em></td></tr>
 799 <tr><td><code>aNULL</code></td>  <td>No authentication</td></tr>
 800 <tr><td><code>aRSA</code></td>   <td>RSA authentication</td></tr>
 801 <tr><td><code>aDSS</code></td>   <td>DSS authentication</td> </tr>
 802 <tr><td><code>aDH</code></td>    <td>Diffie-Hellman authentication</td></tr>
 803 <tr><td colspan="2"><em>Cipher Encoding Algorithm:</em></td></tr>
 804 <tr><td><code>eNULL</code></td>  <td>No encryption</td>         </tr>
 805 <tr><td><code>NULL</code></td>   <td>alias for eNULL</td>         </tr>
 806 <tr><td><code>AES</code></td>    <td>AES encryption</td>        </tr>
 807 <tr><td><code>DES</code></td>    <td>DES encryption</td>        </tr>
 808 <tr><td><code>3DES</code></td>   <td>Triple-DES encryption</td> </tr>
 809 <tr><td><code>RC4</code></td>    <td>RC4 encryption</td>       </tr>
 810 <tr><td><code>RC2</code></td>    <td>RC2 encryption</td>       </tr>
 811 <tr><td><code>IDEA</code></td>   <td>IDEA encryption</td>       </tr>
 812 <tr><td colspan="2"><em>MAC Digest Algorithm</em>:</td></tr>
 813 <tr><td><code>MD5</code></td>    <td>MD5 hash function</td></tr>
 814 <tr><td><code>SHA1</code></td>   <td>SHA1 hash function</td></tr>
 815 <tr><td><code>SHA</code></td>    <td>alias for SHA1</td> </tr>
 816 <tr><td><code>SHA256</code></td> <td>SHA256 hash function</td> </tr>
 817 <tr><td><code>SHA384</code></td> <td>SHA384 hash function</td> </tr>
 818 <tr><td colspan="2"><em>Aliases:</em></td></tr>
 819 <tr><td><code>SSLv3</code></td>  <td>all SSL version 3.0 ciphers</td> </tr>
 820 <tr><td><code>TLSv1</code></td>  <td>all TLS version 1.0 ciphers</td> </tr>
 821 <tr><td><code>EXP</code></td>    <td>all export ciphers</td>  </tr>
 822 <tr><td><code>EXPORT40</code></td> <td>all 40-bit export ciphers only</td>  </tr>
 823 <tr><td><code>EXPORT56</code></td> <td>all 56-bit export ciphers only</td>  </tr>
 824 <tr><td><code>LOW</code></td>    <td>all low strength ciphers (no export, single DES)</td></tr>
 825 <tr><td><code>MEDIUM</code></td> <td>all ciphers with 128 bit encryption</td> </tr>
 826 <tr><td><code>HIGH</code></td>   <td>all ciphers using Triple-DES</td>     </tr>
 827 <tr><td><code>RSA</code></td>    <td>all ciphers using RSA key exchange</td> </tr>
 828 <tr><td><code>DH</code></td>     <td>all ciphers using Diffie-Hellman key exchange</td> </tr>
 829 <tr><td><code>EDH</code></td>    <td>all ciphers using Ephemeral Diffie-Hellman key exchange</td> </tr>
 830 <tr><td><code>ECDH</code></td>   <td>Elliptic Curve Diffie-Hellman key exchange</td>   </tr>
 831 <tr><td><code>ADH</code></td>    <td>all ciphers using Anonymous Diffie-Hellman key exchange</td> </tr>
 832 <tr><td><code>AECDH</code></td>    <td>all ciphers using Anonymous Elliptic Curve Diffie-Hellman key exchange</td> </tr>
 833 <tr><td><code>SRP</code></td>    <td>all ciphers using Secure Remote Password (SRP) key exchange</td> </tr>
 834 <tr><td><code>DSS</code></td>    <td>all ciphers using DSS authentication</td> </tr>
 835 <tr><td><code>ECDSA</code></td>    <td>all ciphers using ECDSA authentication</td> </tr>
 836 <tr><td><code>aNULL</code></td>   <td>all ciphers using no authentication</td> </tr>
 837 </table>
 838 <p>
 839 Now where this becomes interesting is that these can be put together
 840 to specify the order and ciphers you wish to use. To speed this up
 841 there are also aliases (<code>SSLv3, TLSv1, EXP, LOW, MEDIUM,
 842 HIGH</code>) for certain groups of ciphers. These tags can be joined
 843 together with prefixes to form the <em>cipher-spec</em>. Available
 844 prefixes are:</p>
 845 <ul>
 846 <li>none: add cipher to list</li>
 847 <li><code>+</code>: move matching ciphers to the current location in list</li>
 848 <li><code>-</code>: remove cipher from list (can be added later again)</li>
 849 <li><code>!</code>: kill cipher from list completely (can <strong>not</strong> be added later again)</li>
 850 </ul>
 851
 852 <div class="note">
 853 <h3><code>aNULL</code>, <code>eNULL</code> and <code>EXP</code>
 854 ciphers are always disabled</h3>
 855 <p>Beginning with version 2.4.7, null and export-grade
 856 ciphers are always disabled, as mod_ssl unconditionally adds
 857 <code>!aNULL:!eNULL:!EXP</code> to any cipher string at initialization.</p>
 858 </div>
 859
 860 <p>A simpler way to look at all of this is to use the ``<code>openssl ciphers
 861 -v</code>'' command which provides a nice way to successively create the
 862 correct <em>cipher-spec</em> string. The default <em>cipher-spec</em> string
 863 depends on the version of the OpenSSL libraries used. Let's suppose it is
 864 ``<code>RC4-SHA:AES128-SHA:HIGH:MEDIUM:!aNULL:!MD5</code>'' which
 865 means the following: Put <code>RC4-SHA</code> and <code>AES128-SHA</code> at
 866 the beginning. We do this, because these ciphers offer a good compromise
 867 between speed and security. Next, include high and medium security ciphers.
 868 Finally, remove all ciphers which do not authenticate, i.e. for SSL the
 869 Anonymous Diffie-Hellman ciphers, as well as all ciphers which use
 870 <code>MD5</code> as hash algorithm, because it has been proven insufficient.</p>
 871 <div class="example"><pre>$ openssl ciphers -v 'RC4-SHA:AES128-SHA:HIGH:MEDIUM:!aNULL:!MD5'
 872 RC4-SHA                 SSLv3 Kx=RSA      Au=RSA  Enc=RC4(128)  Mac=SHA1
 873 AES128-SHA              SSLv3 Kx=RSA      Au=RSA  Enc=AES(128)  Mac=SHA1
 874 DHE-RSA-AES256-SHA      SSLv3 Kx=DH       Au=RSA  Enc=AES(256)  Mac=SHA1
 875 ...                     ...               ...     ...           ...
 876 SEED-SHA                SSLv3 Kx=RSA      Au=RSA  Enc=SEED(128) Mac=SHA1
 877 PSK-RC4-SHA             SSLv3 Kx=PSK      Au=PSK  Enc=RC4(128)  Mac=SHA1
 878 KRB5-RC4-SHA            SSLv3 Kx=KRB5     Au=KRB5 Enc=RC4(128)  Mac=SHA1</pre></div>
 879 <p>The complete list of particular RSA &amp; DH ciphers for SSL is given in <a href="#table2">Table 2</a>.</p>
 880 <div class="example"><h3>Example</h3><pre class="prettyprint lang-config">SSLCipherSuite RSA:!EXP:!NULL:+HIGH:+MEDIUM:-LOW</pre>
 881 </div>
 882 <table class="bordered">
 883
 884 <tr><th><a name="table2">Cipher-Tag</a></th> <th>Protocol</th> <th>Key Ex.</th> <th>Auth.</th> <th>Enc.</th> <th>MAC</th> <th>Type</th> </tr>
 885 <tr><td colspan="7"><em>RSA Ciphers:</em></td></tr>
 886 <tr><td><code>DES-CBC3-SHA</code></td> <td>SSLv3</td> <td>RSA</td> <td>RSA</td> <td>3DES(168)</td> <td>SHA1</td> <td /> </tr>
 887 <tr><td><code>IDEA-CBC-SHA</code></td> <td>SSLv3</td> <td>RSA</td> <td>RSA</td> <td>IDEA(128)</td> <td>SHA1</td> <td /> </tr>
 888 <tr><td><code>RC4-SHA</code></td> <td>SSLv3</td> <td>RSA</td> <td>RSA</td> <td>RC4(128)</td> <td>SHA1</td> <td /> </tr>
 889 <tr><td><code>RC4-MD5</code></td> <td>SSLv3</td> <td>RSA</td> <td>RSA</td> <td>RC4(128)</td> <td>MD5</td> <td /> </tr>
 890 <tr><td><code>DES-CBC-SHA</code></td> <td>SSLv3</td> <td>RSA</td> <td>RSA</td> <td>DES(56)</td> <td>SHA1</td> <td /> </tr>
 891 <tr><td><code>EXP-DES-CBC-SHA</code></td> <td>SSLv3</td> <td>RSA(512)</td> <td>RSA</td> <td>DES(40)</td> <td>SHA1</td> <td> export</td> </tr>
 892 <tr><td><code>EXP-RC2-CBC-MD5</code></td> <td>SSLv3</td> <td>RSA(512)</td> <td>RSA</td> <td>RC2(40)</td> <td>MD5</td> <td>  export</td> </tr>
 893 <tr><td><code>EXP-RC4-MD5</code></td> <td>SSLv3</td> <td>RSA(512)</td> <td>RSA</td> <td>RC4(40)</td> <td>MD5</td> <td>  export</td> </tr>
 894 <tr><td><code>NULL-SHA</code></td> <td>SSLv3</td> <td>RSA</td> <td>RSA</td> <td>None</td> <td>SHA1</td> <td /> </tr>
 895 <tr><td><code>NULL-MD5</code></td> <td>SSLv3</td> <td>RSA</td> <td>RSA</td> <td>None</td> <td>MD5</td> <td /> </tr>
 896 <tr><td colspan="7"><em>Diffie-Hellman Ciphers:</em></td></tr>
 897 <tr><td><code>ADH-DES-CBC3-SHA</code></td> <td>SSLv3</td> <td>DH</td> <td>None</td> <td>3DES(168)</td> <td>SHA1</td> <td /> </tr>
 898 <tr><td><code>ADH-DES-CBC-SHA</code></td> <td>SSLv3</td> <td>DH</td> <td>None</td> <td>DES(56)</td> <td>SHA1</td> <td /> </tr>
 899 <tr><td><code>ADH-RC4-MD5</code></td> <td>SSLv3</td> <td>DH</td> <td>None</td> <td>RC4(128)</td> <td>MD5</td> <td /> </tr>
 900 <tr><td><code>EDH-RSA-DES-CBC3-SHA</code></td> <td>SSLv3</td> <td>DH</td> <td>RSA</td> <td>3DES(168)</td> <td>SHA1</td> <td /> </tr>
 901 <tr><td><code>EDH-DSS-DES-CBC3-SHA</code></td> <td>SSLv3</td> <td>DH</td> <td>DSS</td> <td>3DES(168)</td> <td>SHA1</td> <td /> </tr>
 902 <tr><td><code>EDH-RSA-DES-CBC-SHA</code></td> <td>SSLv3</td> <td>DH</td> <td>RSA</td> <td>DES(56)</td> <td>SHA1</td> <td /> </tr>
 903 <tr><td><code>EDH-DSS-DES-CBC-SHA</code></td> <td>SSLv3</td> <td>DH</td> <td>DSS</td> <td>DES(56)</td> <td>SHA1</td> <td /> </tr>
 904 <tr><td><code>EXP-EDH-RSA-DES-CBC-SHA</code></td> <td>SSLv3</td> <td>DH(512)</td> <td>RSA</td> <td>DES(40)</td> <td>SHA1</td> <td> export</td> </tr>
 905 <tr><td><code>EXP-EDH-DSS-DES-CBC-SHA</code></td> <td>SSLv3</td> <td>DH(512)</td> <td>DSS</td> <td>DES(40)</td> <td>SHA1</td> <td> export</td> </tr>
 906 <tr><td><code>EXP-ADH-DES-CBC-SHA</code></td> <td>SSLv3</td> <td>DH(512)</td> <td>None</td> <td>DES(40)</td> <td>SHA1</td> <td> export</td> </tr>
 907 <tr><td><code>EXP-ADH-RC4-MD5</code></td> <td>SSLv3</td> <td>DH(512)</td> <td>None</td> <td>RC4(40)</td> <td>MD5</td> <td>  export</td> </tr>
 908 </table>
 909
 910 </div>
 911 <div class="top"><a href="#page-header"><img alt="top" src="../images/up.gif" /></a></div>
 912 <div class="directive-section"><h2><a name="SSLCompression" id="SSLCompression">SSLCompression</a> <a name="sslcompression" id="sslcompression">Directive</a></h2>
 913 <table class="directive">
 914 <tr><th><a href="directive-dict.html#Description">Description:</a></th><td>Enable compression on the SSL level</td></tr>
 915 <tr><th><a href="directive-dict.html#Syntax">Syntax:</a></th><td><code>SSLCompression on|off</code></td></tr>
 916 <tr><th><a href="directive-dict.html#Default">Default:</a></th><td><code>SSLCompression off</code></td></tr>
 917 <tr><th><a href="directive-dict.html#Context">Context:</a></th><td>server config, virtual host</td></tr>
 918 <tr><th><a href="directive-dict.html#Status">Status:</a></th><td>Extension</td></tr>
 919 <tr><th><a href="directive-dict.html#Module">Module:</a></th><td>mod_ssl</td></tr>
 920 <tr><th><a href="directive-dict.html#Compatibility">Compatibility:</a></th><td>Available in httpd 2.4.3 and later, if using OpenSSL 0.9.8 or later;
 921 virtual host scope available if using OpenSSL 1.0.0 or later.
 922 The default used to be <code>on</code> in version 2.4.3.</td></tr>
 923 </table>
 924 <p>This directive allows to enable compression on the SSL level.</p>
 925 <div class="warning">
 926 <p>Enabling compression causes security issues in most setups (the so called
 927 CRIME attack).</p>
 928 </div>
 929
 930 </div>
 931 <div class="top"><a href="#page-header"><img alt="top" src="../images/up.gif" /></a></div>
 932 <div class="directive-section"><h2><a name="SSLCryptoDevice" id="SSLCryptoDevice">SSLCryptoDevice</a> <a name="sslcryptodevice" id="sslcryptodevice">Directive</a></h2>
 933 <table class="directive">
 934 <tr><th><a href="directive-dict.html#Description">Description:</a></th><td>Enable use of a cryptographic hardware accelerator</td></tr>
 935 <tr><th><a href="directive-dict.html#Syntax">Syntax:</a></th><td><code>SSLCryptoDevice <em>engine</em></code></td></tr>
 936 <tr><th><a href="directive-dict.html#Default">Default:</a></th><td><code>SSLCryptoDevice builtin</code></td></tr>
 937 <tr><th><a href="directive-dict.html#Context">Context:</a></th><td>server config</td></tr>
 938 <tr><th><a href="directive-dict.html#Status">Status:</a></th><td>Extension</td></tr>
 939 <tr><th><a href="directive-dict.html#Module">Module:</a></th><td>mod_ssl</td></tr>
 940 </table>
 941 <p>
 942 This directive enables use of a cryptographic hardware accelerator
 943 board to offload some of the SSL processing overhead.  This directive
 944 can only be used if the SSL toolkit is built with "engine" support;
 945 OpenSSL 0.9.7 and later releases have "engine" support by default, the
 946 separate "-engine" releases of OpenSSL 0.9.6 must be used.</p>
 947
 948 <p>To discover which engine names are supported, run the command
 949 "<code>openssl engine</code>".</p>
 950
 951 <div class="example"><h3>Example</h3><pre class="prettyprint lang-config"># For a Broadcom accelerator:
 952 SSLCryptoDevice ubsec</pre>
 953 </div>
 954
 955 </div>
 956 <div class="top"><a href="#page-header"><img alt="top" src="../images/up.gif" /></a></div>
 957 <div class="directive-section"><h2><a name="SSLEngine" id="SSLEngine">SSLEngine</a> <a name="sslengine" id="sslengine">Directive</a></h2>
 958 <table class="directive">
 959 <tr><th><a href="directive-dict.html#Description">Description:</a></th><td>SSL Engine Operation Switch</td></tr>
 960 <tr><th><a href="directive-dict.html#Syntax">Syntax:</a></th><td><code>SSLEngine on|off|optional|addr[:port] [addr[:port]] ...</code></td></tr>
 961 <tr><th><a href="directive-dict.html#Default">Default:</a></th><td><code>SSLEngine off</code></td></tr>
 962 <tr><th><a href="directive-dict.html#Context">Context:</a></th><td>server config, virtual host</td></tr>
 963 <tr><th><a href="directive-dict.html#Status">Status:</a></th><td>Extension</td></tr>
 964 <tr><th><a href="directive-dict.html#Module">Module:</a></th><td>mod_ssl</td></tr>
 965 <tr><th><a href="directive-dict.html#Compatibility">Compatibility:</a></th><td>The <code>addr:port</code> parameter is available in Apache 2.4.30 and later.</td></tr>
 966 </table>
 967 <p>
 968 This directive toggles the usage of the SSL/TLS Protocol Engine. Values 'on',
 969 'off' and 'optional' should be used inside a <code class="directive"><a href="../mod/core.html#virtualhost">&lt;VirtualHost&gt;</a></code> section to enable SSL/TLS for a
 970 that virtual host. By default the SSL/TLS Protocol Engine is
 971 disabled for both the main server and all configured virtual hosts.</p>
 972 <div class="example"><h3>Example</h3><pre class="prettyprint lang-config">&lt;VirtualHost _default_:443&gt;
 973 SSLEngine on
 974 #...
 975 &lt;/VirtualHost&gt;</pre>
 976 </div>
 977 <p>The <code>addr:port</code> values should be used in the
 978 global server to enable the SSL/TLS Protocol Engine for <em>all</em>
 979 <code class="directive"><a href="../mod/core.html#virtualhost">&lt;VirtualHost&gt;</a></code>s
 980 that match one of the addresses in the list.</p>
 981 <div class="example"><h3>Example</h3><pre class="prettyprint lang-config">SSLEngine *:443
 982 &lt;VirtualHost *:443&gt;
 983 #...
 984 &lt;/VirtualHost&gt;</pre>
 985 </div>
 986 <p><code class="directive">SSLEngine</code> can be set to <code>optional</code>:
 987 this enables support for
 988 <a href="http://www.ietf.org/rfc/rfc2817.txt">RFC 2817</a>.
 989 </p>
 990
 991 </div>
 992 <div class="top"><a href="#page-header"><img alt="top" src="../images/up.gif" /></a></div>
 993 <div class="directive-section"><h2><a name="SSLFIPS" id="SSLFIPS">SSLFIPS</a> <a name="sslfips" id="sslfips">Directive</a></h2>
 994 <table class="directive">
 995 <tr><th><a href="directive-dict.html#Description">Description:</a></th><td>SSL FIPS mode Switch</td></tr>
 996 <tr><th><a href="directive-dict.html#Syntax">Syntax:</a></th><td><code>SSLFIPS on|off</code></td></tr>
 997 <tr><th><a href="directive-dict.html#Default">Default:</a></th><td><code>SSLFIPS off</code></td></tr>
 998 <tr><th><a href="directive-dict.html#Context">Context:</a></th><td>server config</td></tr>
 999 <tr><th><a href="directive-dict.html#Status">Status:</a></th><td>Extension</td></tr>
1000 <tr><th><a href="directive-dict.html#Module">Module:</a></th><td>mod_ssl</td></tr>
1001 </table>
1002 <p>
1003 This directive toggles the usage of the SSL library FIPS_mode flag.
1004 It must be set in the global server context and cannot be configured
1005 with conflicting settings (SSLFIPS on followed by SSLFIPS off or
1006 similar).  The mode applies to all SSL library operations.
1007 </p>
1008 <p>
1009 If httpd was compiled against an SSL library which did not support
1010 the FIPS_mode flag, <code>SSLFIPS on</code> will fail.  Refer to the
1011 FIPS 140-2 Security Policy document of the SSL provider library for
1012 specific requirements to use mod_ssl in a FIPS 140-2 approved mode
1013 of operation; note that mod_ssl itself is not validated, but may be
1014 described as using FIPS 140-2 validated cryptographic module, when
1015 all components are assembled and operated under the guidelines imposed
1016 by the applicable Security Policy.
1017 </p>
1018
1019 </div>
1020 <div class="top"><a href="#page-header"><img alt="top" src="../images/up.gif" /></a></div>
1021 <div class="directive-section"><h2><a name="SSLHonorCipherOrder" id="SSLHonorCipherOrder">SSLHonorCipherOrder</a> <a name="sslhonorcipherorder" id="sslhonorcipherorder">Directive</a></h2>
1022 <table class="directive">
1023 <tr><th><a href="directive-dict.html#Description">Description:</a></th><td>Option to prefer the server's cipher preference order</td></tr>
1024 <tr><th><a href="directive-dict.html#Syntax">Syntax:</a></th><td><code>SSLHonorCipherOrder on|off</code></td></tr>
1025 <tr><th><a href="directive-dict.html#Default">Default:</a></th><td><code>SSLHonorCipherOrder off</code></td></tr>
1026 <tr><th><a href="directive-dict.html#Context">Context:</a></th><td>server config, virtual host</td></tr>
1027 <tr><th><a href="directive-dict.html#Status">Status:</a></th><td>Extension</td></tr>
1028 <tr><th><a href="directive-dict.html#Module">Module:</a></th><td>mod_ssl</td></tr>
1029 </table>
1030 <p>When choosing a cipher during an SSLv3 or TLSv1 handshake, normally
1031 the client's preference is used.  If this directive is enabled, the
1032 server's preference will be used instead.</p>
1033 <div class="example"><h3>Example</h3><pre class="prettyprint lang-config">SSLHonorCipherOrder on</pre>
1034 </div>
1035
1036 </div>
1037 <div class="top"><a href="#page-header"><img alt="top" src="../images/up.gif" /></a></div>
1038 <div class="directive-section"><h2><a name="SSLInsecureRenegotiation" id="SSLInsecureRenegotiation">SSLInsecureRenegotiation</a> <a name="sslinsecurerenegotiation" id="sslinsecurerenegotiation">Directive</a></h2>
1039 <table class="directive">
1040 <tr><th><a href="directive-dict.html#Description">Description:</a></th><td>Option to enable support for insecure renegotiation</td></tr>
1041 <tr><th><a href="directive-dict.html#Syntax">Syntax:</a></th><td><code>SSLInsecureRenegotiation on|off</code></td></tr>
1042 <tr><th><a href="directive-dict.html#Default">Default:</a></th><td><code>SSLInsecureRenegotiation off</code></td></tr>
1043 <tr><th><a href="directive-dict.html#Context">Context:</a></th><td>server config, virtual host</td></tr>
1044 <tr><th><a href="directive-dict.html#Status">Status:</a></th><td>Extension</td></tr>
1045 <tr><th><a href="directive-dict.html#Module">Module:</a></th><td>mod_ssl</td></tr>
1046 <tr><th><a href="directive-dict.html#Compatibility">Compatibility:</a></th><td>Available if using OpenSSL 0.9.8m or later</td></tr>
1047 </table>
1048 <p>As originally specified, all versions of the SSL and TLS protocols
1049 (up to and including TLS/1.2) were vulnerable to a Man-in-the-Middle
1050 attack
1051 (<a href="http://cve.mitre.org/cgi-bin/cvename.cgi?name=CAN-2009-3555">CVE-2009-3555</a>)
1052 during a renegotiation.  This vulnerability allowed an attacker to
1053 "prefix" a chosen plaintext to the HTTP request as seen by the web
1054 server.  A protocol extension was developed which fixed this
1055 vulnerability if supported by both client and server.</p>
1056
1057 <p>If <code class="module"><a href="../mod/mod_ssl.html">mod_ssl</a></code> is linked against OpenSSL version 0.9.8m
1058 or later, by default renegotiation is only supported with
1059 clients supporting the new protocol extension.  If this directive is
1060 enabled, renegotiation will be allowed with old (unpatched) clients,
1061 albeit insecurely.</p>
1062
1063 <div class="warning"><h3>Security warning</h3>
1064 <p>If this directive is enabled, SSL connections will be vulnerable to
1065 the Man-in-the-Middle prefix attack as described
1066 in <a href="http://cve.mitre.org/cgi-bin/cvename.cgi?name=CAN-2009-3555">CVE-2009-3555</a>.</p>
1067 </div>
1068
1069 <div class="example"><h3>Example</h3><pre class="prettyprint lang-config">SSLInsecureRenegotiation on</pre>
1070 </div>
1071
1072 <p>The <code>SSL_SECURE_RENEG</code> environment variable can be used
1073 from an SSI or CGI script to determine whether secure renegotiation is
1074 supported for a given SSL connection.</p>
1075
1076
1077 </div>
1078 <div class="top"><a href="#page-header"><img alt="top" src="../images/up.gif" /></a></div>
1079 <div class="directive-section"><h2><a name="SSLOCSPDefaultResponder" id="SSLOCSPDefaultResponder">SSLOCSPDefaultResponder</a> <a name="sslocspdefaultresponder" id="sslocspdefaultresponder">Directive</a></h2>
1080 <table class="directive">
1081 <tr><th><a href="directive-dict.html#Description">Description:</a></th><td>Set the default responder URI for OCSP validation</td></tr>
1082 <tr><th><a href="directive-dict.html#Syntax">Syntax:</a></th><td><code>SSLOCSDefaultResponder <em>uri</em></code></td></tr>
1083 <tr><th><a href="directive-dict.html#Context">Context:</a></th><td>server config, virtual host</td></tr>
1084 <tr><th><a href="directive-dict.html#Status">Status:</a></th><td>Extension</td></tr>
1085 <tr><th><a href="directive-dict.html#Module">Module:</a></th><td>mod_ssl</td></tr>
1086 </table>
1087 <p>This option sets the default OCSP responder to use.  If <code class="directive"><a href="#sslocspoverrideresponder">SSLOCSPOverrideResponder</a></code> is not enabled,
1088 the URI given will be used only if no responder URI is specified in
1089 the certificate being verified.</p>
1090
1091 </div>
1092 <div class="top"><a href="#page-header"><img alt="top" src="../images/up.gif" /></a></div>
1093 <div class="directive-section"><h2><a name="SSLOCSPEnable" id="SSLOCSPEnable">SSLOCSPEnable</a> <a name="sslocspenable" id="sslocspenable">Directive</a></h2>
1094 <table class="directive">
1095 <tr><th><a href="directive-dict.html#Description">Description:</a></th><td>Enable OCSP validation of the client certificate chain</td></tr>
1096 <tr><th><a href="directive-dict.html#Syntax">Syntax:</a></th><td><code>SSLOCSPEnable on|leaf|off</code></td></tr>
1097 <tr><th><a href="directive-dict.html#Default">Default:</a></th><td><code>SSLOCSPEnable off</code></td></tr>
1098 <tr><th><a href="directive-dict.html#Context">Context:</a></th><td>server config, virtual host</td></tr>
1099 <tr><th><a href="directive-dict.html#Status">Status:</a></th><td>Extension</td></tr>
1100 <tr><th><a href="directive-dict.html#Module">Module:</a></th><td>mod_ssl</td></tr>
1101 </table>
1102 <p>This option enables OCSP validation of the client certificate
1103 chain.  If this option is enabled, certificates in the client's
1104 certificate chain will be validated against an OCSP responder after
1105 normal verification (including CRL checks) have taken place. In
1106 mode 'leaf', only the client certificate itself will be validated.</p>
1107
1108 <p>The OCSP responder used is either extracted from the certificate
1109 itself, or derived by configuration; see the
1110 <code class="directive"><a href="#sslocspdefaultresponder">SSLOCSPDefaultResponder</a></code> and
1111 <code class="directive"><a href="#sslocspoverrideresponder">SSLOCSPOverrideResponder</a></code>
1112 directives.</p>
1113
1114 <div class="example"><h3>Example</h3><pre class="prettyprint lang-config">SSLVerifyClient on
1115 SSLOCSPEnable on
1116 SSLOCSPDefaultResponder "http://responder.example.com:8888/responder"
1117 SSLOCSPOverrideResponder on</pre>
1118 </div>
1119
1120 </div>
1121 <div class="top"><a href="#page-header"><img alt="top" src="../images/up.gif" /></a></div>
1122 <div class="directive-section"><h2><a name="SSLOCSPNoverify" id="SSLOCSPNoverify">SSLOCSPNoverify</a> <a name="sslocspnoverify" id="sslocspnoverify">Directive</a></h2>
1123 <table class="directive">
1124 <tr><th><a href="directive-dict.html#Description">Description:</a></th><td>skip the OCSP responder certificates verification</td></tr>
1125 <tr><th><a href="directive-dict.html#Syntax">Syntax:</a></th><td><code>SSLOCSPNoverify <em>On/Off</em></code></td></tr>
1126 <tr><th><a href="directive-dict.html#Default">Default:</a></th><td><code>SSLOCSPNoverify Off</code></td></tr>
1127 <tr><th><a href="directive-dict.html#Context">Context:</a></th><td>server config, virtual host</td></tr>
1128 <tr><th><a href="directive-dict.html#Status">Status:</a></th><td>Extension</td></tr>
1129 <tr><th><a href="directive-dict.html#Module">Module:</a></th><td>mod_ssl</td></tr>
1130 <tr><th><a href="directive-dict.html#Compatibility">Compatibility:</a></th><td>Available in httpd 2.4.26 and later, if using OpenSSL 0.9.7 or later</td></tr>
1131 </table>
1132 <p>Skip the OCSP responder certificates verification, mostly useful when
1133 testing an OCSP server.</p>
1134
1135 </div>
1136 <div class="top"><a href="#page-header"><img alt="top" src="../images/up.gif" /></a></div>
1137 <div class="directive-section"><h2><a name="SSLOCSPOverrideResponder" id="SSLOCSPOverrideResponder">SSLOCSPOverrideResponder</a> <a name="sslocspoverrideresponder" id="sslocspoverrideresponder">Directive</a></h2>
1138 <table class="directive">
1139 <tr><th><a href="directive-dict.html#Description">Description:</a></th><td>Force use of the default responder URI for OCSP validation</td></tr>
1140 <tr><th><a href="directive-dict.html#Syntax">Syntax:</a></th><td><code>SSLOCSPOverrideResponder on|off</code></td></tr>
1141 <tr><th><a href="directive-dict.html#Default">Default:</a></th><td><code>SSLOCSPOverrideResponder off</code></td></tr>
1142 <tr><th><a href="directive-dict.html#Context">Context:</a></th><td>server config, virtual host</td></tr>
1143 <tr><th><a href="directive-dict.html#Status">Status:</a></th><td>Extension</td></tr>
1144 <tr><th><a href="directive-dict.html#Module">Module:</a></th><td>mod_ssl</td></tr>
1145 </table>
1146 <p>This option forces the configured default OCSP responder to be used
1147 during OCSP certificate validation, regardless of whether the
1148 certificate being validated references an OCSP responder.</p>
1149
1150 </div>
1151 <div class="top"><a href="#page-header"><img alt="top" src="../images/up.gif" /></a></div>
1152 <div class="directive-section"><h2><a name="SSLOCSPProxyURL" id="SSLOCSPProxyURL">SSLOCSPProxyURL</a> <a name="sslocspproxyurl" id="sslocspproxyurl">Directive</a></h2>
1153 <table class="directive">
1154 <tr><th><a href="directive-dict.html#Description">Description:</a></th><td>Proxy URL to use for OCSP requests</td></tr>
1155 <tr><th><a href="directive-dict.html#Syntax">Syntax:</a></th><td><code>SSLOCSPProxyURL <em>url</em></code></td></tr>
1156 <tr><th><a href="directive-dict.html#Context">Context:</a></th><td>server config, virtual host</td></tr>
1157 <tr><th><a href="directive-dict.html#Status">Status:</a></th><td>Extension</td></tr>
1158 <tr><th><a href="directive-dict.html#Module">Module:</a></th><td>mod_ssl</td></tr>
1159 <tr><th><a href="directive-dict.html#Compatibility">Compatibility:</a></th><td>Available in httpd 2.4.19 and later</td></tr>
1160 </table>
1161 <p>This option allows to set the URL of a HTTP proxy that should be used for
1162 all queries to OCSP responders.</p>
1163
1164 </div>
1165 <div class="top"><a href="#page-header"><img alt="top" src="../images/up.gif" /></a></div>
1166 <div class="directive-section"><h2><a name="SSLOCSPResponderCertificateFile" id="SSLOCSPResponderCertificateFile">SSLOCSPResponderCertificateFile</a> <a name="sslocsprespondercertificatefile" id="sslocsprespondercertificatefile">Directive</a></h2>
1167 <table class="directive">
1168 <tr><th><a href="directive-dict.html#Description">Description:</a></th><td>Set of trusted PEM encoded OCSP responder certificates</td></tr>
1169 <tr><th><a href="directive-dict.html#Syntax">Syntax:</a></th><td><code>SSLOCSPResponderCertificateFile <em>file</em></code></td></tr>
1170 <tr><th><a href="directive-dict.html#Context">Context:</a></th><td>server config, virtual host</td></tr>
1171 <tr><th><a href="directive-dict.html#Status">Status:</a></th><td>Extension</td></tr>
1172 <tr><th><a href="directive-dict.html#Module">Module:</a></th><td>mod_ssl</td></tr>
1173 <tr><th><a href="directive-dict.html#Compatibility">Compatibility:</a></th><td>Available in httpd 2.4.26 and later, if using OpenSSL 0.9.7 or later</td></tr>
1174 </table>
1175 <p>This supplies a list of trusted OCSP responder certificates to be used
1176 during OCSP responder certificate validation. The supplied certificates are
1177 implicitly trusted without any further validation. This is typically used
1178 where the OCSP responder certificate is self signed or omitted from the OCSP
1179 response.</p>
1180
1181 </div>
1182 <div class="top"><a href="#page-header"><img alt="top" src="../images/up.gif" /></a></div>
1183 <div class="directive-section"><h2><a name="SSLOCSPResponderTimeout" id="SSLOCSPResponderTimeout">SSLOCSPResponderTimeout</a> <a name="sslocsprespondertimeout" id="sslocsprespondertimeout">Directive</a></h2>
1184 <table class="directive">
1185 <tr><th><a href="directive-dict.html#Description">Description:</a></th><td>Timeout for OCSP queries</td></tr>
1186 <tr><th><a href="directive-dict.html#Syntax">Syntax:</a></th><td><code>SSLOCSPResponderTimeout <em>seconds</em></code></td></tr>
1187 <tr><th><a href="directive-dict.html#Default">Default:</a></th><td><code>SSLOCSPResponderTimeout 10</code></td></tr>
1188 <tr><th><a href="directive-dict.html#Context">Context:</a></th><td>server config, virtual host</td></tr>
1189 <tr><th><a href="directive-dict.html#Status">Status:</a></th><td>Extension</td></tr>
1190 <tr><th><a href="directive-dict.html#Module">Module:</a></th><td>mod_ssl</td></tr>
1191 </table>
1192 <p>This option sets the timeout for queries to OCSP responders, when
1193 <code class="directive"><a href="#sslocspenable">SSLOCSPEnable</a></code> is turned on.</p>
1194
1195 </div>
1196 <div class="top"><a href="#page-header"><img alt="top" src="../images/up.gif" /></a></div>
1197 <div class="directive-section"><h2><a name="SSLOCSPResponseMaxAge" id="SSLOCSPResponseMaxAge">SSLOCSPResponseMaxAge</a> <a name="sslocspresponsemaxage" id="sslocspresponsemaxage">Directive</a></h2>
1198 <table class="directive">
1199 <tr><th><a href="directive-dict.html#Description">Description:</a></th><td>Maximum allowable age for OCSP responses</td></tr>
1200 <tr><th><a href="directive-dict.html#Syntax">Syntax:</a></th><td><code>SSLOCSPResponseMaxAge <em>seconds</em></code></td></tr>
1201 <tr><th><a href="directive-dict.html#Default">Default:</a></th><td><code>SSLOCSPResponseMaxAge -1</code></td></tr>
1202 <tr><th><a href="directive-dict.html#Context">Context:</a></th><td>server config, virtual host</td></tr>
1203 <tr><th><a href="directive-dict.html#Status">Status:</a></th><td>Extension</td></tr>
1204 <tr><th><a href="directive-dict.html#Module">Module:</a></th><td>mod_ssl</td></tr>
1205 </table>
1206 <p>This option sets the maximum allowable age ("freshness") for OCSP responses.
1207 The default value (<code>-1</code>) does not enforce a maximum age,
1208 which means that OCSP responses are considered valid as long as their
1209 <code>nextUpdate</code> field is in the future.</p>
1210
1211 </div>
1212 <div class="top"><a href="#page-header"><img alt="top" src="../images/up.gif" /></a></div>
1213 <div class="directive-section"><h2><a name="SSLOCSPResponseTimeSkew" id="SSLOCSPResponseTimeSkew">SSLOCSPResponseTimeSkew</a> <a name="sslocspresponsetimeskew" id="sslocspresponsetimeskew">Directive</a></h2>
1214 <table class="directive">
1215 <tr><th><a href="directive-dict.html#Description">Description:</a></th><td>Maximum allowable time skew for OCSP response validation</td></tr>
1216 <tr><th><a href="directive-dict.html#Syntax">Syntax:</a></th><td><code>SSLOCSPResponseTimeSkew <em>seconds</em></code></td></tr>
1217 <tr><th><a href="directive-dict.html#Default">Default:</a></th><td><code>SSLOCSPResponseTimeSkew 300</code></td></tr>
1218 <tr><th><a href="directive-dict.html#Context">Context:</a></th><td>server config, virtual host</td></tr>
1219 <tr><th><a href="directive-dict.html#Status">Status:</a></th><td>Extension</td></tr>
1220 <tr><th><a href="directive-dict.html#Module">Module:</a></th><td>mod_ssl</td></tr>
1221 </table>
1222 <p>This option sets the maximum allowable time skew for OCSP responses
1223 (when checking their <code>thisUpdate</code> and <code>nextUpdate</code> fields).</p>
1224
1225 </div>
1226 <div class="top"><a href="#page-header"><img alt="top" src="../images/up.gif" /></a></div>
1227 <div class="directive-section"><h2><a name="SSLOCSPUseRequestNonce" id="SSLOCSPUseRequestNonce">SSLOCSPUseRequestNonce</a> <a name="sslocspuserequestnonce" id="sslocspuserequestnonce">Directive</a></h2>
1228 <table class="directive">
1229 <tr><th><a href="directive-dict.html#Description">Description:</a></th><td>Use a nonce within OCSP queries</td></tr>
1230 <tr><th><a href="directive-dict.html#Syntax">Syntax:</a></th><td><code>SSLOCSPUseRequestNonce on|off</code></td></tr>
1231 <tr><th><a href="directive-dict.html#Default">Default:</a></th><td><code>SSLOCSPUseRequestNonce on</code></td></tr>
1232 <tr><th><a href="directive-dict.html#Context">Context:</a></th><td>server config, virtual host</td></tr>
1233 <tr><th><a href="directive-dict.html#Status">Status:</a></th><td>Extension</td></tr>
1234 <tr><th><a href="directive-dict.html#Module">Module:</a></th><td>mod_ssl</td></tr>
1235 <tr><th><a href="directive-dict.html#Compatibility">Compatibility:</a></th><td>Available in httpd 2.4.10 and later</td></tr>
1236 </table>
1237 <p>This option determines whether queries to OCSP responders should contain
1238 a nonce or not. By default, a query nonce is always used and checked against
1239 the response's one. When the responder does not use nonces (e.g. Microsoft OCSP
1240 Responder), this option should be turned <code>off</code>.</p>
1241
1242 </div>
1243 <div class="top"><a href="#page-header"><img alt="top" src="../images/up.gif" /></a></div>
1244 <div class="directive-section"><h2><a name="SSLOpenSSLConfCmd" id="SSLOpenSSLConfCmd">SSLOpenSSLConfCmd</a> <a name="sslopensslconfcmd" id="sslopensslconfcmd">Directive</a></h2>
1245 <table class="directive">
1246 <tr><th><a href="directive-dict.html#Description">Description:</a></th><td>Configure OpenSSL parameters through its <em>SSL_CONF</em> API</td></tr>
1247 <tr><th><a href="directive-dict.html#Syntax">Syntax:</a></th><td><code>SSLOpenSSLConfCmd <em>command-name</em> <em>command-value</em></code></td></tr>
1248 <tr><th><a href="directive-dict.html#Context">Context:</a></th><td>server config, virtual host</td></tr>
1249 <tr><th><a href="directive-dict.html#Status">Status:</a></th><td>Extension</td></tr>
1250 <tr><th><a href="directive-dict.html#Module">Module:</a></th><td>mod_ssl</td></tr>
1251 <tr><th><a href="directive-dict.html#Compatibility">Compatibility:</a></th><td>Available in httpd 2.4.8 and later, if using OpenSSL 1.0.2 or later</td></tr>
1252 </table>
1253 <p>This directive exposes OpenSSL's <em>SSL_CONF</em> API to mod_ssl,
1254 allowing a flexible configuration of OpenSSL parameters without the need
1255 of implementing additional <code class="module"><a href="../mod/mod_ssl.html">mod_ssl</a></code> directives when new
1256 features are added to OpenSSL.</p>
1257
1258 <p>The set of available <code class="directive">SSLOpenSSLConfCmd</code> commands
1259 depends on the OpenSSL version being used for <code class="module"><a href="../mod/mod_ssl.html">mod_ssl</a></code>
1260 (at least version 1.0.2 is required). For a list of supported command
1261 names, see the section <em>Supported configuration file commands</em> in the
1262 <a href="http://www.openssl.org/docs/man1.0.2/ssl/SSL_CONF_cmd.html#SUPPORTED-CONFIGURATION-FILE-COMMANDS">SSL_CONF_cmd(3)</a> manual page for OpenSSL.</p>
1263
1264 <p>Some of the <code class="directive">SSLOpenSSLConfCmd</code> commands can be used
1265 as an alternative to existing directives (such as
1266 <code class="directive"><a href="#sslciphersuite">SSLCipherSuite</a></code> or
1267 <code class="directive"><a href="#sslprotocol">SSLProtocol</a></code>),
1268 though it should be noted that the syntax / allowable values for the parameters
1269 may sometimes differ.</p>
1270
1271 <div class="example"><h3>Examples</h3><pre class="prettyprint lang-config">SSLOpenSSLConfCmd Options -SessionTicket,ServerPreference
1272 SSLOpenSSLConfCmd ECDHParameters brainpoolP256r1
1273 SSLOpenSSLConfCmd ServerInfoFile "/usr/local/apache2/conf/server-info.pem"
1274 SSLOpenSSLConfCmd Protocol "-ALL, TLSv1.2"
1275 SSLOpenSSLConfCmd SignatureAlgorithms RSA+SHA384:ECDSA+SHA256</pre>
1276 </div>
1277
1278 </div>
1279 <div class="top"><a href="#page-header"><img alt="top" src="../images/up.gif" /></a></div>
1280 <div class="directive-section"><h2><a name="SSLOptions" id="SSLOptions">SSLOptions</a> <a name="ssloptions" id="ssloptions">Directive</a></h2>
1281 <table class="directive">
1282 <tr><th><a href="directive-dict.html#Description">Description:</a></th><td>Configure various SSL engine run-time options</td></tr>
1283 <tr><th><a href="directive-dict.html#Syntax">Syntax:</a></th><td><code>SSLOptions [+|-]<em>option</em> ...</code></td></tr>
1284 <tr><th><a href="directive-dict.html#Context">Context:</a></th><td>server config, virtual host, directory, .htaccess</td></tr>
1285 <tr><th><a href="directive-dict.html#Override">Override:</a></th><td>Options</td></tr>
1286 <tr><th><a href="directive-dict.html#Status">Status:</a></th><td>Extension</td></tr>
1287 <tr><th><a href="directive-dict.html#Module">Module:</a></th><td>mod_ssl</td></tr>
1288 </table>
1289 <p>
1290 This directive can be used to control various run-time options on a
1291 per-directory basis. Normally, if multiple <code>SSLOptions</code>
1292 could apply to a directory, then the most specific one is taken
1293 completely; the options are not merged. However if <em>all</em> the
1294 options on the <code>SSLOptions</code> directive are preceded by a
1295 plus (<code>+</code>) or minus (<code>-</code>) symbol, the options
1296 are merged. Any options preceded by a <code>+</code> are added to the
1297 options currently in force, and any options preceded by a
1298 <code>-</code> are removed from the options currently in force.</p>
1299 <p>
1300 The available <em>option</em>s are:</p>
1301 <ul>
1302 <li><code>StdEnvVars</code>
1303     <p>
1304     When this option is enabled, the standard set of SSL related CGI/SSI
1305     environment variables are created. This per default is disabled for
1306     performance reasons, because the information extraction step is a
1307     rather expensive operation. So one usually enables this option for
1308     CGI and SSI requests only.</p>
1309 </li>
1310 <li><code>ExportCertData</code>
1311     <p>
1312     When this option is enabled, additional CGI/SSI environment variables are
1313     created: <code>SSL_SERVER_CERT</code>, <code>SSL_CLIENT_CERT</code> and
1314     <code>SSL_CLIENT_CERT_CHAIN_</code><em>n</em> (with <em>n</em> = 0,1,2,..).
1315     These contain the PEM-encoded X.509 Certificates of server and client for
1316     the current HTTPS connection and can be used by CGI scripts for deeper
1317     Certificate checking. Additionally all other certificates of the client
1318     certificate chain are provided, too. This bloats up the environment a
1319     little bit which is why you have to use this option to enable it on
1320     demand.</p>
1321 </li>
1322 <li><code>FakeBasicAuth</code>
1323     <p>
1324     When this option is enabled, the Subject Distinguished Name (DN) of the
1325     Client X509 Certificate is translated into a HTTP Basic Authorization
1326     username. This means that the standard Apache authentication methods can
1327     be used for access control. The user name is just the Subject of the
1328     Client's X509 Certificate (can be determined by running OpenSSL's
1329     <code>openssl x509</code> command: <code>openssl x509 -noout -subject -in
1330     </code><em>certificate</em><code>.crt</code>). The optional <code class="directive"><a href="#sslusername">SSLUserName</a></code> directive can be used to
1331     specify which part of the certificate Subject is embedded in the username.
1332     Note that no password is obtained from the user. Every entry in the user
1333     file needs this password: ``<code>xxj31ZMTZzkVA</code>'', which is the
1334     DES-encrypted version of the word `<code>password</code>''. Those who
1335     live under MD5-based encryption (for instance under FreeBSD or BSD/OS,
1336     etc.) should use the following MD5 hash of the same word:
1337      ``<code>$1$OXLyS...$Owx8s2/m9/gfkcRVXzgoE/</code>''.</p>
1338
1339     <p>Note that the <code class="directive"><a href="../mod/mod_auth_basic.html#authbasicfake">AuthBasicFake</a></code>
1340     directive within <code class="module"><a href="../mod/mod_auth_basic.html">mod_auth_basic</a></code> can be used as a more
1341     general mechanism for faking basic authentication, giving control over the
1342     structure of both the username and password.</p>
1343
1344     <div class="warning">
1345       <p>The usernames used for <code>FakeBasicAuth</code> must not
1346       include any non-ASCII characters, ASCII escape characters (such
1347       a newline), or a colon.  If a colon is found, a 403 Forbidden
1348       error will be generated with httpd 2.5.1 and later.</p>
1349     </div>
1350 </li>
1351 <li><code>StrictRequire</code>
1352     <p>
1353     This <em>forces</em> forbidden access when <code>SSLRequireSSL</code> or
1354     <code>SSLRequire</code> successfully decided that access should be
1355     forbidden. Usually the default is that in the case where a ``<code>Satisfy
1356     any</code>'' directive is used, and other access restrictions are passed,
1357     denial of access due to <code>SSLRequireSSL</code> or
1358     <code>SSLRequire</code> is overridden (because that's how the Apache
1359     <code>Satisfy</code> mechanism should work.) But for strict access restriction
1360     you can use <code>SSLRequireSSL</code> and/or <code>SSLRequire</code> in
1361     combination with an ``<code>SSLOptions +StrictRequire</code>''. Then an
1362     additional ``<code>Satisfy Any</code>'' has no chance once mod_ssl has
1363     decided to deny access.</p>
1364 </li>
1365 <li><code>OptRenegotiate</code>
1366     <p>
1367     This enables optimized SSL connection renegotiation handling when SSL
1368     directives are used in per-directory context. By default a strict
1369     scheme is enabled where <em>every</em> per-directory reconfiguration of
1370     SSL parameters causes a <em>full</em> SSL renegotiation handshake. When this
1371     option is used mod_ssl tries to avoid unnecessary handshakes by doing more
1372     granular (but still safe) parameter checks. Nevertheless these granular
1373     checks sometimes may not be what the user expects, so enable this on a
1374     per-directory basis only, please.</p>
1375 </li>
1376 <li><code>LegacyDNStringFormat</code>
1377     <p>
1378     This option influences how values of the
1379     <code>SSL_{CLIENT,SERVER}_{I,S}_DN</code> variables are formatted. Since
1380     version 2.3.11, Apache HTTPD uses a RFC 2253 compatible format by
1381     default. This uses commas as delimiters between the attributes, allows the
1382     use of non-ASCII characters (which are converted to UTF8), escapes
1383     various special characters with backslashes, and sorts the attributes
1384     with the "C" attribute last.</p>
1385
1386     <p>If <code>LegacyDNStringFormat</code> is set, the old format will be
1387     used which sorts the "C" attribute first, uses slashes as separators, and
1388     does not handle non-ASCII and special characters in any consistent way.
1389     </p>
1390 </li>
1391 </ul>
1392 <div class="example"><h3>Example</h3><pre class="prettyprint lang-config">SSLOptions +FakeBasicAuth -StrictRequire
1393 &lt;Files ~ "\.(cgi|shtml)$"&gt;
1394     SSLOptions +StdEnvVars -ExportCertData
1395 &lt;/Files&gt;</pre>
1396 </div>
1397
1398 </div>
1399 <div class="top"><a href="#page-header"><img alt="top" src="../images/up.gif" /></a></div>
1400 <div class="directive-section"><h2><a name="SSLPassPhraseDialog" id="SSLPassPhraseDialog">SSLPassPhraseDialog</a> <a name="sslpassphrasedialog" id="sslpassphrasedialog">Directive</a></h2>
1401 <table class="directive">
1402 <tr><th><a href="directive-dict.html#Description">Description:</a></th><td>Type of pass phrase dialog for encrypted private
1403 keys</td></tr>
1404 <tr><th><a href="directive-dict.html#Syntax">Syntax:</a></th><td><code>SSLPassPhraseDialog <em>type</em></code></td></tr>
1405 <tr><th><a href="directive-dict.html#Default">Default:</a></th><td><code>SSLPassPhraseDialog builtin</code></td></tr>
1406 <tr><th><a href="directive-dict.html#Context">Context:</a></th><td>server config</td></tr>
1407 <tr><th><a href="directive-dict.html#Status">Status:</a></th><td>Extension</td></tr>
1408 <tr><th><a href="directive-dict.html#Module">Module:</a></th><td>mod_ssl</td></tr>
1409 </table>
1410 <p>
1411 When Apache starts up it has to read the various Certificate (see
1412 <code class="directive"><a href="#sslcertificatefile">SSLCertificateFile</a></code>) and
1413 Private Key (see <code class="directive"><a href="#sslcertificatekeyfile">SSLCertificateKeyFile</a></code>) files of the
1414 SSL-enabled virtual servers. Because for security reasons the Private
1415 Key files are usually encrypted, mod_ssl needs to query the
1416 administrator for a Pass Phrase in order to decrypt those files. This
1417 query can be done in two ways which can be configured by
1418 <em>type</em>:</p>
1419 <ul>
1420 <li><code>builtin</code>
1421     <p>
1422     This is the default where an interactive terminal dialog occurs at startup
1423     time just before Apache detaches from the terminal. Here the administrator
1424     has to manually enter the Pass Phrase for each encrypted Private Key file.
1425     Because a lot of SSL-enabled virtual hosts can be configured, the
1426     following reuse-scheme is used to minimize the dialog: When a Private Key
1427     file is encrypted, all known Pass Phrases (at the beginning there are
1428     none, of course) are tried. If one of those known Pass Phrases succeeds no
1429     dialog pops up for this particular Private Key file. If none succeeded,
1430     another Pass Phrase is queried on the terminal and remembered for the next
1431     round (where it perhaps can be reused).</p>
1432     <p>
1433     This scheme allows mod_ssl to be maximally flexible (because for N encrypted
1434     Private Key files you <em>can</em> use N different Pass Phrases - but then
1435     you have to enter all of them, of course) while minimizing the terminal
1436     dialog (i.e. when you use a single Pass Phrase for all N Private Key files
1437     this Pass Phrase is queried only once).</p></li>
1438
1439 <li><code>|/path/to/program [args...]</code>
1440
1441    <p>This mode allows an external program to be used which acts as a
1442    pipe to a particular input device; the program is sent the standard
1443    prompt text used for the <code>builtin</code> mode on
1444    <code>stdin</code>, and is expected to write password strings on
1445    <code>stdout</code>.  If several passwords are needed (or an
1446    incorrect password is entered), additional prompt text will be
1447    written subsequent to the first password being returned, and more
1448    passwords must then be written back.</p></li>
1449
1450 <li><code>exec:/path/to/program</code>
1451     <p>
1452     Here an external program is configured which is called at startup for each
1453     encrypted Private Key file. It is called with one argument, a string of the
1454     form ``<code>servername:portnumber:index</code>'' (with <code>index</code>
1455     being a zero-based sequence number), which indicates for which server,
1456     TCP port and certificate number it has to print the corresponding
1457     Pass Phrase to <code>stdout</code>.  The intent is that this external
1458     program first runs security checks to make sure that the system is not
1459     compromised by an attacker, and only when these checks were passed
1460     successfully it provides the Pass Phrase.</p>
1461     <p>
1462     Both these security checks, and the way the Pass Phrase is determined, can
1463     be as complex as you like. Mod_ssl just defines the interface: an
1464     executable program which provides the Pass Phrase on <code>stdout</code>.
1465     Nothing more or less! So, if you're really paranoid about security, here
1466     is your interface. Anything else has to be left as an exercise to the
1467     administrator, because local security requirements are so different.</p>
1468     <p>
1469     The reuse-algorithm above is used here, too. In other words: The external
1470     program is called only once per unique Pass Phrase.</p></li>
1471 </ul>
1472 <div class="example"><h3>Example</h3><pre class="prettyprint lang-config">SSLPassPhraseDialog "exec:/usr/local/apache/sbin/pp-filter"</pre>
1473 </div>
1474
1475 </div>
1476 <div class="top"><a href="#page-header"><img alt="top" src="../images/up.gif" /></a></div>
1477 <div class="directive-section"><h2><a name="SSLPolicy" id="SSLPolicy">SSLPolicy</a> <a name="sslpolicy" id="sslpolicy">Directive</a></h2>
1478 <table class="directive">
1479 <tr><th><a href="directive-dict.html#Description">Description:</a></th><td>Apply a SSLPolicy by name</td></tr>
1480 <tr><th><a href="directive-dict.html#Syntax">Syntax:</a></th><td><code>SSLPolicy <em>name</em></code></td></tr>
1481 <tr><th><a href="directive-dict.html#Context">Context:</a></th><td>server config, virtual host</td></tr>
1482 <tr><th><a href="directive-dict.html#Status">Status:</a></th><td>Extension</td></tr>
1483 <tr><th><a href="directive-dict.html#Module">Module:</a></th><td>mod_ssl</td></tr>
1484 <tr><th><a href="directive-dict.html#Compatibility">Compatibility:</a></th><td>Available in httpd 2.4.30 and later</td></tr>
1485 </table>
1486 <p>This directive applies the set of SSL* directives defined
1487 under 'name' (see <code class="directive">&lt;SSLPolicyDefine&gt;</code>) as the <em>base</em>
1488 settings in the current context. Apache comes with the following pre-defined policies from
1489 Mozilla, the makers of the Firefox browser
1490 (<a href="https://wiki.mozilla.org/Security/Server_Side_TLS#Recommended_configurations">see here
1491 for a detailed description by them.</a>):
1492 </p>
1493 <ul>
1494     <li><code>modern</code>: recommended when your server is accessible on the open Internet. Works with all modern browsers, but old devices might be unable to connect.</li>
1495     <li><code>intermediate</code>: the fallback if you need to support old (but not very old) clients.</li>
1496     <li><code>old</code>: when you need to give Windows XP/Internet Explorer 6 access. The last resort.</li>
1497 </ul>
1498
1499 <p>You can check the detailed description of all defined policies via the command line:</p>
1500 <div class="example"><h3>List all Defined Policies</h3><pre class="prettyprint lang-sh">httpd -t -D DUMP_SSL_POLICIES</pre>
1501 </div>
1502
1503 <p>A SSLPolicy defines the baseline for the context it is used in. That means that any
1504 other SSL* directives in the same context override it. As an example of this, see the effective
1505 <code class="directive">SSLProtocol</code> value in the following settings:</p>
1506
1507 <div class="example"><h3>Policy Precedence</h3><pre class="prettyprint lang-config">&lt;VirtualHost...&gt; # effective: 'all'
1508    SSLPolicy modern
1509    SSLProtocol all
1510 &lt;/VirtualHost&gt;
1511
1512 &lt;VirtualHost...&gt; # effective: 'all'
1513    SSLProtocol all
1514    SSLPolicy modern
1515 &lt;/VirtualHost&gt;
1516
1517 SSLPolicy modern
1518 &lt;VirtualHost...&gt; # effective: 'all'
1519    SSLProtocol all
1520 &lt;/VirtualHost&gt;
1521
1522 SSLProtocol all
1523 &lt;VirtualHost...&gt; # effective: '+TLSv1.2'
1524   SSLPolicy modern
1525 &lt;/VirtualHost&gt;</pre>
1526 </div>
1527
1528 <p>There can be more than one policy applied in a context. The
1529 later ones overshadowing the earlier ones:</p>
1530
1531 <div class="example"><h3>Policy Ordering</h3><pre class="prettyprint lang-config">&lt;VirtualHost...&gt; # effective protocol: 'all -SSLv3'
1532    SSLPolicy modern
1533    SSLPolicy intermediate
1534 &lt;/VirtualHost&gt;
1535
1536 &lt;VirtualHost...&gt; # effective protocol: '+TLSv1.2'
1537    SSLPolicy intermediate
1538    SSLPolicy modern
1539 &lt;/VirtualHost&gt;</pre>
1540 </div>
1541
1542
1543 </div>
1544 <div class="top"><a href="#page-header"><img alt="top" src="../images/up.gif" /></a></div>
1545 <div class="directive-section"><h2><a name="SSLPolicyDefinesection" id="SSLPolicyDefinesection">&lt;SSLPolicyDefine&gt;</a> <a name="sslpolicydefinesection" id="sslpolicydefinesection">Directive</a></h2>
1546 <table class="directive">
1547 <tr><th><a href="directive-dict.html#Description">Description:</a></th><td>Define a named set of SSL configurations</td></tr>
1548 <tr><th><a href="directive-dict.html#Syntax">Syntax:</a></th><td><code>&lt;SSLPolicyDefine <em>name</em>&gt;</code></td></tr>
1549 <tr><th><a href="directive-dict.html#Context">Context:</a></th><td>server config</td></tr>
1550 <tr><th><a href="directive-dict.html#Status">Status:</a></th><td>Extension</td></tr>
1551 <tr><th><a href="directive-dict.html#Module">Module:</a></th><td>mod_ssl</td></tr>
1552 <tr><th><a href="directive-dict.html#Compatibility">Compatibility:</a></th><td>Available in httpd 2.4.30 and later</td></tr>
1553 </table>
1554 <p>This directive defines a set of SSL* configurations under
1555 and gives it a name. This name can be used in the directives
1556 <code class="directive">SSLPolicy</code> and <code class="directive">SSLProxyPolicy</code>
1557 to apply this configuration set in the current context.</p>
1558
1559 <div class="example"><h3>Define and Use of a Policy</h3><pre class="prettyprint lang-config">&lt;SSLPolicyDefine safe-stapling&gt;
1560    SSLUseStapling on
1561    SSLStaplingResponderTimeout 2
1562    SSLStaplingReturnResponderErrors off
1563    SSLStaplingFakeTryLater off
1564    SSLStaplingStandardCacheTimeout 86400
1565 &lt;/SSLPolicyDefine&gt;
1566
1567    ...
1568    &lt;VirtualHost...&gt;
1569       SSLPolicy safe-stapling
1570       ...</pre>
1571 </div>
1572
1573 <p>On the one hand, this can make server configurations easier to
1574 <em>read</em> and <em>maintain</em>. On the other hand, it is
1575 intended to make SSL easier and safer to <em>use</em>. For the
1576 latter, Apache httpd ships with a set of pre-defined policies
1577 that reflect good open source practise. The policy "modern",
1578 for example, carries the settings to make your server work
1579 compatible and securely with current browsers.</p>
1580
1581 <p>The list of predefined policies in your Apache can be obtained
1582 by running the following command. This list shows you the
1583 detailed configurations each policy is made of:</p>
1584
1585 <div class="example"><h3>List all Defined Policies</h3><pre class="prettyprint lang-sh">httpd -t -D DUMP_SSL_POLICIES</pre>
1586 </div>
1587
1588 <p>The directive can only be used in the server config (global context). It can take
1589 most SSL* directives, however a few can only be set once and are not allowed inside
1590 policy defintions. These are <code class="directive">SSLCryptoDevice</code>,
1591 <code class="directive">SSLRandomSeed</code>,
1592 <code class="directive">SSLSessionCache</code> and
1593 <code class="directive">SSLStaplingCache</code>.
1594 </p>
1595 <p>Two policies cannot have the same name. However, policies can
1596 be redefined:</p>
1597
1598 <div class="example"><h3>Policy Overwrite</h3><pre class="prettyprint lang-config">&lt;SSLPolicyDefine proxy-trust&gt;
1599    SSLProxyVerify require
1600 &lt;/SSLPolicyDefine&gt;
1601    ...
1602 &lt;SSLPolicyDefine proxy-trust&gt;
1603    SSLProxyVerify none
1604 &lt;/SSLPolicyDefine&gt;</pre>
1605 </div>
1606
1607 <p>Policy definitions are <em>added</em> in the order they appear, but are
1608 <em>applied</em> when the whole configuration has been read. This means that any
1609 use of 'proxy-trust' will mean 'SSLProxyVerify none'. The first definition
1610 has no effect at all. That allows pre-installed policies to be replaced
1611 without the need to disable them.</p>
1612
1613 <p>Additional to replacing policies, redefinitions may just alter
1614 an aspect of a policy:</p>
1615
1616 <div class="example"><h3>Policy Redefine</h3><pre class="prettyprint lang-config">&lt;SSLPolicyDefine proxy-trust&gt;
1617    SSLProxyVerify require
1618 &lt;/SSLPolicyDefine&gt;
1619    ...
1620 &lt;SSLPolicyDefine proxy-trust&gt;
1621    SSLPolicy proxy-trust
1622    SSLProxyVerifyDepth 10
1623 &lt;/SSLPolicyDefine&gt;</pre>
1624 </div>
1625
1626 <p>This re-uses all settings from the previous 'proxy-trust' and adds
1627 one directive on top of it. All others still apply. This is very handy
1628 when pre-defined policies (from Apache itself or a distributor)
1629 that <em>almost</em> what you need. Previously, such definitions were
1630 (copied and) edited. This made updating them difficult. Now they can
1631 be setup like this:</p>
1632
1633 <div class="example"><h3>Tweak a Pre-Defined Policy</h3><pre class="prettyprint lang-config">Include ssl-policies.conf
1634
1635 &lt;SSLPolicyDefine modern&gt;
1636    SSLPolicy modern
1637    SSLProxyVerify none
1638 &lt;/SSLPolicyDefine&gt;</pre>
1639 </div>
1640
1641
1642 </div>
1643 <div class="top"><a href="#page-header"><img alt="top" src="../images/up.gif" /></a></div>
1644 <div class="directive-section"><h2><a name="SSLProtocol" id="SSLProtocol">SSLProtocol</a> <a name="sslprotocol" id="sslprotocol">Directive</a></h2>
1645 <table class="directive">
1646 <tr><th><a href="directive-dict.html#Description">Description:</a></th><td>Configure usable SSL/TLS protocol versions</td></tr>
1647 <tr><th><a href="directive-dict.html#Syntax">Syntax:</a></th><td><code>SSLProtocol [+|-]<em>protocol</em> ...</code></td></tr>
1648 <tr><th><a href="directive-dict.html#Default">Default:</a></th><td><code>SSLProtocol all -SSLv3</code></td></tr>
1649 <tr><th><a href="directive-dict.html#Context">Context:</a></th><td>server config, virtual host</td></tr>
1650 <tr><th><a href="directive-dict.html#Status">Status:</a></th><td>Extension</td></tr>
1651 <tr><th><a href="directive-dict.html#Module">Module:</a></th><td>mod_ssl</td></tr>
1652 </table>
1653 <p>
1654 This directive can be used to control which versions of the SSL/TLS protocol
1655 will be accepted in new connections.</p>
1656 <p>
1657 The available (case-insensitive) <em>protocol</em>s are:</p>
1658 <ul>
1659 <li><code>SSLv3</code>
1660     <p>
1661     This is the Secure Sockets Layer (SSL) protocol, version 3.0, from
1662     the Netscape Corporation.
1663     It is the successor to SSLv2 and the predecessor to TLSv1, but is
1664     deprecated in <a href="http://www.ietf.org/rfc/rfc7568.txt">RFC 7568</a>.</p></li>
1665
1666 <li><code>TLSv1</code>
1667     <p>
1668     This is the Transport Layer Security (TLS) protocol, version 1.0.
1669     It is the successor to SSLv3 and is defined in
1670     <a href="http://www.ietf.org/rfc/rfc2246.txt">RFC 2246</a>.
1671     It is supported by nearly every client.</p></li>
1672
1673 <li><code>TLSv1.1</code> (when using OpenSSL 1.0.1 and later)
1674     <p>
1675     A revision of the TLS 1.0 protocol, as defined in
1676     <a href="http://www.ietf.org/rfc/rfc4346.txt">RFC 4346</a>.</p></li>
1677
1678 <li><code>TLSv1.2</code> (when using OpenSSL 1.0.1 and later)
1679     <p>
1680     A revision of the TLS 1.1 protocol, as defined in
1681     <a href="http://www.ietf.org/rfc/rfc5246.txt">RFC 5246</a>.</p></li>
1682
1683 <li><code>all</code>
1684     <p>
1685     This is a shortcut for ``<code>+SSLv3 +TLSv1</code>'' or
1686     - when using OpenSSL 1.0.1 and later -
1687     ``<code>+SSLv3 +TLSv1 +TLSv1.1 +TLSv1.2</code>'', respectively
1688     (except for OpenSSL versions compiled with the ``no-ssl3'' configuration
1689     option, where <code>all</code> does not include <code>+SSLv3</code>).</p></li>
1690 </ul>
1691 <div class="example"><h3>Example</h3><pre class="prettyprint lang-config">SSLProtocol TLSv1</pre>
1692 </div>
1693
1694 </div>
1695 <div class="top"><a href="#page-header"><img alt="top" src="../images/up.gif" /></a></div>
1696 <div class="directive-section"><h2><a name="SSLProxyCACertificateFile" id="SSLProxyCACertificateFile">SSLProxyCACertificateFile</a> <a name="sslproxycacertificatefile" id="sslproxycacertificatefile">Directive</a></h2>
1697 <table class="directive">
1698 <tr><th><a href="directive-dict.html#Description">Description:</a></th><td>File of concatenated PEM-encoded CA Certificates
1699 for Remote Server Auth</td></tr>
1700 <tr><th><a href="directive-dict.html#Syntax">Syntax:</a></th><td><code>SSLProxyCACertificateFile <em>file-path</em></code></td></tr>
1701 <tr><th><a href="directive-dict.html#Context">Context:</a></th><td>server config, virtual host, proxy section</td></tr>
1702 <tr><th><a href="directive-dict.html#Status">Status:</a></th><td>Extension</td></tr>
1703 <tr><th><a href="directive-dict.html#Module">Module:</a></th><td>mod_ssl</td></tr>
1704 </table>
1705 <p>
1706 This directive sets the <em>all-in-one</em> file where you can assemble the
1707 Certificates of Certification Authorities (CA) whose <em>remote servers</em> you deal
1708 with. These are used for Remote Server Authentication. Such a file is simply the
1709 concatenation of the various PEM-encoded Certificate files, in order of
1710 preference. This can be used alternatively and/or additionally to
1711 <code class="directive"><a href="#sslproxycacertificatepath">SSLProxyCACertificatePath</a></code>.</p>
1712 <div class="example"><h3>Example</h3><pre class="prettyprint lang-config">SSLProxyCACertificateFile "/usr/local/apache2/conf/ssl.crt/ca-bundle-remote-server.crt"</pre>
1713 </div>
1714
1715 </div>
1716 <div class="top"><a href="#page-header"><img alt="top" src="../images/up.gif" /></a></div>
1717 <div class="directive-section"><h2><a name="SSLProxyCACertificatePath" id="SSLProxyCACertificatePath">SSLProxyCACertificatePath</a> <a name="sslproxycacertificatepath" id="sslproxycacertificatepath">Directive</a></h2>
1718 <table class="directive">
1719 <tr><th><a href="directive-dict.html#Description">Description:</a></th><td>Directory of PEM-encoded CA Certificates for
1720 Remote Server Auth</td></tr>
1721 <tr><th><a href="directive-dict.html#Syntax">Syntax:</a></th><td><code>SSLProxyCACertificatePath <em>directory-path</em></code></td></tr>
1722 <tr><th><a href="directive-dict.html#Context">Context:</a></th><td>server config, virtual host, proxy section</td></tr>
1723 <tr><th><a href="directive-dict.html#Status">Status:</a></th><td>Extension</td></tr>
1724 <tr><th><a href="directive-dict.html#Module">Module:</a></th><td>mod_ssl</td></tr>
1725 </table>
1726 <p>
1727 This directive sets the directory where you keep the Certificates of
1728 Certification Authorities (CAs) whose remote servers you deal with. These are used to
1729 verify the remote server certificate on Remote Server Authentication.</p>
1730 <p>
1731 The files in this directory have to be PEM-encoded and are accessed through
1732 hash filenames. So usually you can't just place the Certificate files
1733 there: you also have to create symbolic links named
1734 <em>hash-value</em><code>.N</code>. And you should always make sure this directory
1735 contains the appropriate symbolic links.</p>
1736 <div class="example"><h3>Example</h3><pre class="prettyprint lang-config">SSLProxyCACertificatePath "/usr/local/apache2/conf/ssl.crt/"</pre>
1737 </div>
1738
1739 </div>
1740 <div class="top"><a href="#page-header"><img alt="top" src="../images/up.gif" /></a></div>
1741 <div class="directive-section"><h2><a name="SSLProxyCARevocationCheck" id="SSLProxyCARevocationCheck">SSLProxyCARevocationCheck</a> <a name="sslproxycarevocationcheck" id="sslproxycarevocationcheck">Directive</a></h2>
1742 <table class="directive">
1743 <tr><th><a href="directive-dict.html#Description">Description:</a></th><td>Enable CRL-based revocation checking for Remote Server Auth</td></tr>
1744 <tr><th><a href="directive-dict.html#Syntax">Syntax:</a></th><td><code>SSLProxyCARevocationCheck chain|leaf|none</code></td></tr>
1745 <tr><th><a href="directive-dict.html#Default">Default:</a></th><td><code>SSLProxyCARevocationCheck none</code></td></tr>
1746 <tr><th><a href="directive-dict.html#Context">Context:</a></th><td>server config, virtual host, proxy section</td></tr>
1747 <tr><th><a href="directive-dict.html#Status">Status:</a></th><td>Extension</td></tr>
1748 <tr><th><a href="directive-dict.html#Module">Module:</a></th><td>mod_ssl</td></tr>
1749 </table>
1750 <p>
1751 Enables certificate revocation list (CRL) checking for the
1752 <em>remote servers</em> you deal with. At least one of
1753 <code class="directive"><a href="#sslproxycarevocationfile">SSLProxyCARevocationFile</a></code>
1754 or <code class="directive"><a href="#sslproxycarevocationpath">SSLProxyCARevocationPath</a></code> must be
1755 configured. When set to <code>chain</code> (recommended setting),
1756 CRL checks are applied to all certificates in the chain, while setting it to
1757 <code>leaf</code> limits the checks to the end-entity cert.
1758 </p>
1759 <div class="note">
1760 <h3>When set to <code>chain</code> or <code>leaf</code>,
1761 CRLs <em>must</em> be available for successful validation</h3>
1762 <p>
1763 Prior to version 2.3.15, CRL checking in mod_ssl also succeeded when
1764 no CRL(s) were found in any of the locations configured with
1765 <code class="directive"><a href="#sslproxycarevocationfile">SSLProxyCARevocationFile</a></code>
1766 or <code class="directive"><a href="#sslproxycarevocationpath">SSLProxyCARevocationPath</a></code>.
1767 With the introduction of this directive, the behavior has been changed:
1768 when checking is enabled, CRLs <em>must</em> be present for the validation
1769 to succeed - otherwise it will fail with an
1770 <code>"unable to get certificate CRL"</code> error.
1771 </p>
1772 </div>
1773 <div class="example"><h3>Example</h3><pre class="prettyprint lang-config">SSLProxyCARevocationCheck chain</pre>
1774 </div>
1775
1776 </div>
1777 <div class="top"><a href="#page-header"><img alt="top" src="../images/up.gif" /></a></div>
1778 <div class="directive-section"><h2><a name="SSLProxyCARevocationFile" id="SSLProxyCARevocationFile">SSLProxyCARevocationFile</a> <a name="sslproxycarevocationfile" id="sslproxycarevocationfile">Directive</a></h2>
1779 <table class="directive">
1780 <tr><th><a href="directive-dict.html#Description">Description:</a></th><td>File of concatenated PEM-encoded CA CRLs for
1781 Remote Server Auth</td></tr>
1782 <tr><th><a href="directive-dict.html#Syntax">Syntax:</a></th><td><code>SSLProxyCARevocationFile <em>file-path</em></code></td></tr>
1783 <tr><th><a href="directive-dict.html#Context">Context:</a></th><td>server config, virtual host, proxy section</td></tr>
1784 <tr><th><a href="directive-dict.html#Status">Status:</a></th><td>Extension</td></tr>
1785 <tr><th><a href="directive-dict.html#Module">Module:</a></th><td>mod_ssl</td></tr>
1786 </table>
1787 <p>
1788 This directive sets the <em>all-in-one</em> file where you can
1789 assemble the Certificate Revocation Lists (CRL) of Certification
1790 Authorities (CA) whose <em>remote servers</em> you deal with. These are used
1791 for Remote Server Authentication.  Such a file is simply the concatenation of
1792 the various PEM-encoded CRL files, in order of preference. This can be
1793 used alternatively and/or additionally to <code class="directive"><a href="#sslproxycarevocationpath">SSLProxyCARevocationPath</a></code>.</p>
1794 <div class="example"><h3>Example</h3><pre class="prettyprint lang-config">SSLProxyCARevocationFile "/usr/local/apache2/conf/ssl.crl/ca-bundle-remote-server.crl"</pre>
1795 </div>
1796
1797 </div>
1798 <div class="top"><a href="#page-header"><img alt="top" src="../images/up.gif" /></a></div>
1799 <div class="directive-section"><h2><a name="SSLProxyCARevocationPath" id="SSLProxyCARevocationPath">SSLProxyCARevocationPath</a> <a name="sslproxycarevocationpath" id="sslproxycarevocationpath">Directive</a></h2>
1800 <table class="directive">
1801 <tr><th><a href="directive-dict.html#Description">Description:</a></th><td>Directory of PEM-encoded CA CRLs for
1802 Remote Server Auth</td></tr>
1803 <tr><th><a href="directive-dict.html#Syntax">Syntax:</a></th><td><code>SSLProxyCARevocationPath <em>directory-path</em></code></td></tr>
1804 <tr><th><a href="directive-dict.html#Context">Context:</a></th><td>server config, virtual host, proxy section</td></tr>
1805 <tr><th><a href="directive-dict.html#Status">Status:</a></th><td>Extension</td></tr>
1806 <tr><th><a href="directive-dict.html#Module">Module:</a></th><td>mod_ssl</td></tr>
1807 </table>
1808 <p>
1809 This directive sets the directory where you keep the Certificate Revocation
1810 Lists (CRL) of Certification Authorities (CAs) whose remote servers you deal with.
1811 These are used to revoke the remote server certificate on Remote Server Authentication.</p>
1812 <p>
1813 The files in this directory have to be PEM-encoded and are accessed through
1814 hash filenames. So usually you have not only to place the CRL files there.
1815 Additionally you have to create symbolic links named
1816 <em>hash-value</em><code>.rN</code>. And you should always make sure this directory
1817 contains the appropriate symbolic links.</p>
1818 <div class="example"><h3>Example</h3><pre class="prettyprint lang-config">SSLProxyCARevocationPath "/usr/local/apache2/conf/ssl.crl/"</pre>
1819 </div>
1820
1821 </div>
1822 <div class="top"><a href="#page-header"><img alt="top" src="../images/up.gif" /></a></div>
1823 <div class="directive-section"><h2><a name="SSLProxyCheckPeerCN" id="SSLProxyCheckPeerCN">SSLProxyCheckPeerCN</a> <a name="sslproxycheckpeercn" id="sslproxycheckpeercn">Directive</a></h2>
1824 <table class="directive">
1825 <tr><th><a href="directive-dict.html#Description">Description:</a></th><td>Whether to check the remote server certificate's CN field
1826 </td></tr>
1827 <tr><th><a href="directive-dict.html#Syntax">Syntax:</a></th><td><code>SSLProxyCheckPeerCN on|off</code></td></tr>
1828 <tr><th><a href="directive-dict.html#Default">Default:</a></th><td><code>SSLProxyCheckPeerCN on</code></td></tr>
1829 <tr><th><a href="directive-dict.html#Context">Context:</a></th><td>server config, virtual host, proxy section</td></tr>
1830 <tr><th><a href="directive-dict.html#Status">Status:</a></th><td>Extension</td></tr>
1831 <tr><th><a href="directive-dict.html#Module">Module:</a></th><td>mod_ssl</td></tr>
1832 </table>
1833 <p>
1834 This directive sets whether the remote server certificate's CN field is
1835 compared against the hostname of the request URL. If both are not equal
1836 a 502 status code (Bad Gateway) is sent. <code>SSLProxyCheckPeerCN</code> is
1837 superseded by <code class="directive"><a href="#sslproxycheckpeername">SSLProxyCheckPeerName</a></code>
1838 in release 2.4.5 and later.
1839 </p>
1840 <p>
1841 In all releases 2.4.5 through 2.4.20, setting
1842 <code>SSLProxyCheckPeerName off</code> was sufficient to enable this behavior
1843 (as the <code>SSLProxyCheckPeerCN</code> default was <code>on</code>.) In
1844 these releases, both directives must be set to <code>off</code> to completely
1845 avoid remote server certificate name validation. Many users reported this
1846 to be very confusing.
1847 </p>
1848 <p>
1849 As of release 2.4.21, all configurations which enable either one of the
1850 <code>SSLProxyCheckPeerName</code> or <code>SSLProxyCheckPeerCN</code> options
1851 will use the new <code class="directive"><a href="#sslproxycheckpeername">SSLProxyCheckPeerName</a></code>
1852 behavior, and all configurations which disable either one of the
1853 <code>SSLProxyCheckPeerName</code> or <code>SSLProxyCheckPeerCN</code> options
1854 will suppress all remote server certificate name validation. Only the following
1855 configuration will trigger the legacy certificate CN comparison in 2.4.21 and
1856 later releases;
1857 </p>
1858 <div class="example"><h3>Example</h3><pre class="prettyprint lang-config">SSLProxyCheckPeerCN on
1859 SSLProxyCheckPeerName off</pre>
1860 </div>
1861
1862 </div>
1863 <div class="top"><a href="#page-header"><img alt="top" src="../images/up.gif" /></a></div>
1864 <div class="directive-section"><h2><a name="SSLProxyCheckPeerExpire" id="SSLProxyCheckPeerExpire">SSLProxyCheckPeerExpire</a> <a name="sslproxycheckpeerexpire" id="sslproxycheckpeerexpire">Directive</a></h2>
1865 <table class="directive">
1866 <tr><th><a href="directive-dict.html#Description">Description:</a></th><td>Whether to check if remote server certificate is expired
1867 </td></tr>
1868 <tr><th><a href="directive-dict.html#Syntax">Syntax:</a></th><td><code>SSLProxyCheckPeerExpire on|off</code></td></tr>
1869 <tr><th><a href="directive-dict.html#Default">Default:</a></th><td><code>SSLProxyCheckPeerExpire on</code></td></tr>
1870 <tr><th><a href="directive-dict.html#Context">Context:</a></th><td>server config, virtual host, proxy section</td></tr>
1871 <tr><th><a href="directive-dict.html#Status">Status:</a></th><td>Extension</td></tr>
1872 <tr><th><a href="directive-dict.html#Module">Module:</a></th><td>mod_ssl</td></tr>
1873 </table>
1874 <p>
1875 This directive sets whether it is checked if the remote server certificate
1876 is expired or not. If the check fails a 502 status code (Bad Gateway) is
1877 sent.
1878 </p>
1879 <div class="example"><h3>Example</h3><pre class="prettyprint lang-config">SSLProxyCheckPeerExpire on</pre>
1880 </div>
1881
1882 </div>
1883 <div class="top"><a href="#page-header"><img alt="top" src="../images/up.gif" /></a></div>
1884 <div class="directive-section"><h2><a name="SSLProxyCheckPeerName" id="SSLProxyCheckPeerName">SSLProxyCheckPeerName</a> <a name="sslproxycheckpeername" id="sslproxycheckpeername">Directive</a></h2>
1885 <table class="directive">
1886 <tr><th><a href="directive-dict.html#Description">Description:</a></th><td>Configure host name checking for remote server certificates
1887 </td></tr>
1888 <tr><th><a href="directive-dict.html#Syntax">Syntax:</a></th><td><code>SSLProxyCheckPeerName on|off</code></td></tr>
1889 <tr><th><a href="directive-dict.html#Default">Default:</a></th><td><code>SSLProxyCheckPeerName on</code></td></tr>
1890 <tr><th><a href="directive-dict.html#Context">Context:</a></th><td>server config, virtual host, proxy section</td></tr>
1891 <tr><th><a href="directive-dict.html#Status">Status:</a></th><td>Extension</td></tr>
1892 <tr><th><a href="directive-dict.html#Module">Module:</a></th><td>mod_ssl</td></tr>
1893 <tr><th><a href="directive-dict.html#Compatibility">Compatibility:</a></th><td>Apache HTTP Server 2.4.5 and later</td></tr>
1894 </table>
1895 <p>
1896 This directive configures host name checking for server certificates when
1897 mod_ssl is acting as an SSL client. The check will succeed if the host name
1898 from the request URI matches one of the CN attribute(s) of the certificate's
1899 subject, or matches the subjectAltName extension. If the check fails, the SSL
1900 request is aborted and a 502 status code (Bad Gateway) is returned.
1901 </p>
1902 <p>
1903 Wildcard matching is supported for specific cases: an subjectAltName entry
1904 of type dNSName, or CN attributes starting with <code>*.</code> will match
1905 with any host name of the same number of name elements and the same suffix.
1906 E.g. <code>*.example.org</code> will match <code>foo.example.org</code>,
1907 but will not match <code>foo.bar.example.org</code>, because the number of
1908 elements in the respective host names differs.
1909 </p>
1910 <p>
1911 This feature was introduced in 2.4.5 and superseded the behavior of the
1912 <code class="directive"><a href="#sslproxycheckpeercn">SSLProxyCheckPeerCN</a></code> directive, which
1913 only tested the exact value in the first CN attribute against the host name.
1914 However, many users were confused by the behavior of using these directives
1915 individually, so the mutual behavior of <code>SSLProxyCheckPeerName</code>
1916 and <code>SSLProxyCheckPeerCN</code> directives were improved in release
1917 2.4.21. See the <code class="directive"><a href="#sslproxycheckpeercn">SSLProxyCheckPeerCN</a></code>
1918 directive description for the original behavior and details of these
1919 improvements.
1920 </p>
1921
1922 </div>
1923 <div class="top"><a href="#page-header"><img alt="top" src="../images/up.gif" /></a></div>
1924 <div class="directive-section"><h2><a name="SSLProxyCipherSuite" id="SSLProxyCipherSuite">SSLProxyCipherSuite</a> <a name="sslproxyciphersuite" id="sslproxyciphersuite">Directive</a></h2>
1925 <table class="directive">
1926 <tr><th><a href="directive-dict.html#Description">Description:</a></th><td>Cipher Suite available for negotiation in SSL
1927 proxy handshake</td></tr>
1928 <tr><th><a href="directive-dict.html#Syntax">Syntax:</a></th><td><code>SSLProxyCipherSuite <em>cipher-spec</em></code></td></tr>
1929 <tr><th><a href="directive-dict.html#Default">Default:</a></th><td><code>SSLProxyCipherSuite ALL:!ADH:RC4+RSA:+HIGH:+MEDIUM:+LOW:+EXP</code></td></tr>
1930 <tr><th><a href="directive-dict.html#Context">Context:</a></th><td>server config, virtual host, proxy section</td></tr>
1931 <tr><th><a href="directive-dict.html#Status">Status:</a></th><td>Extension</td></tr>
1932 <tr><th><a href="directive-dict.html#Module">Module:</a></th><td>mod_ssl</td></tr>
1933 </table>
1934 <p>Equivalent to <code class="directive"><a href="#sslciphersuite">SSLCipherSuite</a></code>, but
1935 for the proxy connection.
1936 Please refer to <code class="directive"><a href="#sslciphersuite">SSLCipherSuite</a></code>
1937 for additional information.</p>
1938
1939 </div>
1940 <div class="top"><a href="#page-header"><img alt="top" src="../images/up.gif" /></a></div>
1941 <div class="directive-section"><h2><a name="SSLProxyEngine" id="SSLProxyEngine">SSLProxyEngine</a> <a name="sslproxyengine" id="sslproxyengine">Directive</a></h2>
1942 <table class="directive">
1943 <tr><th><a href="directive-dict.html#Description">Description:</a></th><td>SSL Proxy Engine Operation Switch</td></tr>
1944 <tr><th><a href="directive-dict.html#Syntax">Syntax:</a></th><td><code>SSLProxyEngine on|off</code></td></tr>
1945 <tr><th><a href="directive-dict.html#Default">Default:</a></th><td><code>SSLProxyEngine off</code></td></tr>
1946 <tr><th><a href="directive-dict.html#Context">Context:</a></th><td>server config, virtual host, proxy section</td></tr>
1947 <tr><th><a href="directive-dict.html#Status">Status:</a></th><td>Extension</td></tr>
1948 <tr><th><a href="directive-dict.html#Module">Module:</a></th><td>mod_ssl</td></tr>
1949 </table>
1950 <p>
1951 This directive toggles the usage of the SSL/TLS Protocol Engine for proxy. This
1952 is usually used inside a <code class="directive"><a href="../mod/core.html#virtualhost">&lt;VirtualHost&gt;</a></code> section to enable SSL/TLS for proxy
1953 usage in a particular virtual host. By default the SSL/TLS Protocol Engine is
1954 disabled for proxy both for the main server and all configured virtual hosts.</p>
1955
1956 <p>Note that the <code class="directive">SSLProxyEngine</code> directive should not, in
1957 general, be included in a virtual host that will be acting as a
1958 forward proxy (using <code class="directive"><a href="../mod/mod_proxy.html#proxy">&lt;Proxy&gt;</a></code>
1959 or <code class="directive"><a href="../mod/mod_proxy.html#proxyrequests">ProxyRequests</a></code> directives).
1960 <code class="directive">SSLProxyEngine</code> is not required to enable a forward proxy
1961 server to proxy SSL/TLS requests.</p>
1962
1963 <div class="example"><h3>Example</h3><pre class="prettyprint lang-config">&lt;VirtualHost _default_:443&gt;
1964     SSLProxyEngine on
1965     #...
1966 &lt;/VirtualHost&gt;</pre>
1967 </div>
1968
1969 </div>
1970 <div class="top"><a href="#page-header"><img alt="top" src="../images/up.gif" /></a></div>
1971 <div class="directive-section"><h2><a name="SSLProxyMachineCertificateChainFile" id="SSLProxyMachineCertificateChainFile">SSLProxyMachineCertificateChainFile</a> <a name="sslproxymachinecertificatechainfile" id="sslproxymachinecertificatechainfile">Directive</a></h2>
1972 <table class="directive">
1973 <tr><th><a href="directive-dict.html#Description">Description:</a></th><td>File of concatenated PEM-encoded CA certificates to be used by the proxy for choosing a certificate</td></tr>
1974 <tr><th><a href="directive-dict.html#Syntax">Syntax:</a></th><td><code>SSLProxyMachineCertificateChainFile <em>filename</em></code></td></tr>
1975 <tr><th><a href="directive-dict.html#Context">Context:</a></th><td>server config, virtual host, proxy section</td></tr>
1976 <tr><th><a href="directive-dict.html#Status">Status:</a></th><td>Extension</td></tr>
1977 <tr><th><a href="directive-dict.html#Module">Module:</a></th><td>mod_ssl</td></tr>
1978 </table>
1979 <p>
1980 This directive sets the all-in-one file where you keep the certificate chain
1981 for all of the client certs in use. This directive will be needed if the
1982 remote server presents a list of CA certificates that are not direct signers
1983 of one of the configured client certificates.
1984 </p>
1985 <p>
1986 This referenced file is simply the concatenation of the various PEM-encoded
1987 certificate files. Upon startup, each client certificate configured will
1988 be examined and a chain of trust will be constructed.
1989 </p>
1990 <div class="warning"><h3>Security warning</h3>
1991 <p>If this directive is enabled, all of the certificates in the file will be
1992 trusted as if they were also in <code class="directive"><a href="#sslproxycacertificatefile">
1993 SSLProxyCACertificateFile</a></code>.</p>
1994 </div>
1995 <div class="example"><h3>Example</h3><pre class="prettyprint lang-config">SSLProxyMachineCertificateChainFile "/usr/local/apache2/conf/ssl.crt/proxyCA.pem"</pre>
1996 </div>
1997
1998 </div>
1999 <div class="top"><a href="#page-header"><img alt="top" src="../images/up.gif" /></a></div>
2000 <div class="directive-section"><h2><a name="SSLProxyMachineCertificateFile" id="SSLProxyMachineCertificateFile">SSLProxyMachineCertificateFile</a> <a name="sslproxymachinecertificatefile" id="sslproxymachinecertificatefile">Directive</a></h2>
2001 <table class="directive">
2002 <tr><th><a href="directive-dict.html#Description">Description:</a></th><td>File of concatenated PEM-encoded client certificates and keys to be used by the proxy</td></tr>
2003 <tr><th><a href="directive-dict.html#Syntax">Syntax:</a></th><td><code>SSLProxyMachineCertificateFile <em>filename</em></code></td></tr>
2004 <tr><th><a href="directive-dict.html#Context">Context:</a></th><td>server config, virtual host, proxy section</td></tr>
2005 <tr><th><a href="directive-dict.html#Status">Status:</a></th><td>Extension</td></tr>
2006 <tr><th><a href="directive-dict.html#Module">Module:</a></th><td>mod_ssl</td></tr>
2007 </table>
2008 <p>
2009 This directive sets the all-in-one file where you keep the certificates and
2010 keys used for authentication of the proxy server to remote servers.
2011 </p>
2012 <p>
2013 This referenced file is simply the concatenation of the various PEM-encoded
2014 certificate files, in order of preference. Use this directive alternatively
2015 or additionally to <code>SSLProxyMachineCertificatePath</code>.
2016 </p>
2017 <div class="warning">
2018 <p>Currently there is no support for encrypted private keys</p>
2019 </div>
2020 <div class="example"><h3>Example</h3><pre class="prettyprint lang-config">SSLProxyMachineCertificateFile "/usr/local/apache2/conf/ssl.crt/proxy.pem"</pre>
2021 </div>
2022
2023 </div>
2024 <div class="top"><a href="#page-header"><img alt="top" src="../images/up.gif" /></a></div>
2025 <div class="directive-section"><h2><a name="SSLProxyMachineCertificatePath" id="SSLProxyMachineCertificatePath">SSLProxyMachineCertificatePath</a> <a name="sslproxymachinecertificatepath" id="sslproxymachinecertificatepath">Directive</a></h2>
2026 <table class="directive">
2027 <tr><th><a href="directive-dict.html#Description">Description:</a></th><td>Directory of PEM-encoded client certificates and keys to be used by the proxy</td></tr>
2028 <tr><th><a href="directive-dict.html#Syntax">Syntax:</a></th><td><code>SSLProxyMachineCertificatePath <em>directory</em></code></td></tr>
2029 <tr><th><a href="directive-dict.html#Context">Context:</a></th><td>server config, virtual host, proxy section</td></tr>
2030 <tr><th><a href="directive-dict.html#Status">Status:</a></th><td>Extension</td></tr>
2031 <tr><th><a href="directive-dict.html#Module">Module:</a></th><td>mod_ssl</td></tr>
2032 </table>
2033 <p>
2034 This directive sets the directory where you keep the certificates and
2035 keys used for authentication of the proxy server to remote servers.
2036 </p>
2037 <p>
2038 mod_ssl will attempt to load every file inside the specified
2039 directory, but will ignore any sub-directories. Each file should
2040 contain a PEM-encoded certificate and matching private key.
2041 </p>
2042 <div class="warning">
2043 <p>Currently there is no support for encrypted private keys</p>
2044 </div>
2045 <div class="example"><h3>Example</h3><pre class="prettyprint lang-config">SSLProxyMachineCertificatePath "/usr/local/apache2/conf/proxy.crt/"</pre>
2046 </div>
2047
2048 </div>
2049 <div class="top"><a href="#page-header"><img alt="top" src="../images/up.gif" /></a></div>
2050 <div class="directive-section"><h2><a name="SSLProxyPolicy" id="SSLProxyPolicy">SSLProxyPolicy</a> <a name="sslproxypolicy" id="sslproxypolicy">Directive</a></h2>
2051 <table class="directive">
2052 <tr><th><a href="directive-dict.html#Description">Description:</a></th><td>Apply the SSLProxy* parts alone of a SSLPolicy</td></tr>
2053 <tr><th><a href="directive-dict.html#Syntax">Syntax:</a></th><td><code>SSLProxyPolicy <em>name</em></code></td></tr>
2054 <tr><th><a href="directive-dict.html#Context">Context:</a></th><td>server config, virtual host</td></tr>
2055 <tr><th><a href="directive-dict.html#Status">Status:</a></th><td>Extension</td></tr>
2056 <tr><th><a href="directive-dict.html#Module">Module:</a></th><td>mod_ssl</td></tr>
2057 <tr><th><a href="directive-dict.html#Compatibility">Compatibility:</a></th><td>Available in httpd 2.4.30 and later</td></tr>
2058 </table>
2059 <p>This directive is similar to <code class="directive">SSLPolicy</code>, but
2060 applies only the SSLProxy* directives defined in the policy. This helps
2061 when you need different policies for front and backends:</p>
2062
2063 <div class="example"><h3>Another Policies for Proxy Only</h3><pre class="prettyprint lang-config">SSLPolicy modern
2064 SSLProxyPolicy intermediate</pre>
2065 </div>
2066
2067 <p>In this example, the 'modern' policy is first applied for front- and backend. The backend
2068 parts are then overwritten by the 'intermediate' policy settings.</p>
2069
2070 </div>
2071 <div class="top"><a href="#page-header"><img alt="top" src="../images/up.gif" /></a></div>
2072 <div class="directive-section"><h2><a name="SSLProxyProtocol" id="SSLProxyProtocol">SSLProxyProtocol</a> <a name="sslproxyprotocol" id="sslproxyprotocol">Directive</a></h2>
2073 <table class="directive">
2074 <tr><th><a href="directive-dict.html#Description">Description:</a></th><td>Configure usable SSL protocol flavors for proxy usage</td></tr>
2075 <tr><th><a href="directive-dict.html#Syntax">Syntax:</a></th><td><code>SSLProxyProtocol [+|-]<em>protocol</em> ...</code></td></tr>
2076 <tr><th><a href="directive-dict.html#Default">Default:</a></th><td><code>SSLProxyProtocol all -SSLv3</code></td></tr>
2077 <tr><th><a href="directive-dict.html#Context">Context:</a></th><td>server config, virtual host, proxy section</td></tr>
2078 <tr><th><a href="directive-dict.html#Status">Status:</a></th><td>Extension</td></tr>
2079 <tr><th><a href="directive-dict.html#Module">Module:</a></th><td>mod_ssl</td></tr>
2080 </table>
2081
2082 <p>
2083 This directive can be used to control the SSL protocol flavors mod_ssl should
2084 use when establishing its server environment for proxy . It will only connect
2085 to servers using one of the provided protocols.</p>
2086 <p>Please refer to <code class="directive"><a href="#sslprotocol">SSLProtocol</a></code>
2087 for additional information.
2088 </p>
2089
2090 </div>
2091 <div class="top"><a href="#page-header"><img alt="top" src="../images/up.gif" /></a></div>
2092 <div class="directive-section"><h2><a name="SSLProxyVerify" id="SSLProxyVerify">SSLProxyVerify</a> <a name="sslproxyverify" id="sslproxyverify">Directive</a></h2>
2093 <table class="directive">
2094 <tr><th><a href="directive-dict.html#Description">Description:</a></th><td>Type of remote server Certificate verification</td></tr>
2095 <tr><th><a href="directive-dict.html#Syntax">Syntax:</a></th><td><code>SSLProxyVerify <em>level</em></code></td></tr>
2096 <tr><th><a href="directive-dict.html#Default">Default:</a></th><td><code>SSLProxyVerify none</code></td></tr>
2097 <tr><th><a href="directive-dict.html#Context">Context:</a></th><td>server config, virtual host, proxy section</td></tr>
2098 <tr><th><a href="directive-dict.html#Status">Status:</a></th><td>Extension</td></tr>
2099 <tr><th><a href="directive-dict.html#Module">Module:</a></th><td>mod_ssl</td></tr>
2100 </table>
2101
2102 <p>When a proxy is configured to forward requests to a remote SSL
2103 server, this directive can be used to configure certificate
2104 verification of the remote server. </p>
2105 <p>
2106 The following levels are available for <em>level</em>:</p>
2107 <ul>
2108 <li><strong>none</strong>:
2109      no remote server Certificate is required at all</li>
2110 <li><strong>optional</strong>:
2111      the remote server <em>may</em> present a valid Certificate</li>
2112 <li><strong>require</strong>:
2113      the remote server <em>has to</em> present a valid Certificate</li>
2114 <li><strong>optional_no_ca</strong>:
2115      the remote server may present a valid Certificate<br />
2116      but it need not to be (successfully) verifiable.</li>
2117 </ul>
2118 <p>In practice only levels <strong>none</strong> and
2119 <strong>require</strong> are really interesting, because level
2120 <strong>optional</strong> doesn't work with all servers and level
2121 <strong>optional_no_ca</strong> is actually against the idea of
2122 authentication (but can be used to establish SSL test pages, etc.)</p>
2123 <div class="example"><h3>Example</h3><pre class="prettyprint lang-config">SSLProxyVerify require</pre>
2124 </div>
2125
2126 </div>
2127 <div class="top"><a href="#page-header"><img alt="top" src="../images/up.gif" /></a></div>
2128 <div class="directive-section"><h2><a name="SSLProxyVerifyDepth" id="SSLProxyVerifyDepth">SSLProxyVerifyDepth</a> <a name="sslproxyverifydepth" id="sslproxyverifydepth">Directive</a></h2>
2129 <table class="directive">
2130 <tr><th><a href="directive-dict.html#Description">Description:</a></th><td>Maximum depth of CA Certificates in Remote Server
2131 Certificate verification</td></tr>
2132 <tr><th><a href="directive-dict.html#Syntax">Syntax:</a></th><td><code>SSLProxyVerifyDepth <em>number</em></code></td></tr>
2133 <tr><th><a href="directive-dict.html#Default">Default:</a></th><td><code>SSLProxyVerifyDepth 1</code></td></tr>
2134 <tr><th><a href="directive-dict.html#Context">Context:</a></th><td>server config, virtual host, proxy section</td></tr>
2135 <tr><th><a href="directive-dict.html#Status">Status:</a></th><td>Extension</td></tr>
2136 <tr><th><a href="directive-dict.html#Module">Module:</a></th><td>mod_ssl</td></tr>
2137 </table>
2138 <p>
2139 This directive sets how deeply mod_ssl should verify before deciding that the
2140 remote server does not have a valid certificate. </p>
2141 <p>
2142 The depth actually is the maximum number of intermediate certificate issuers,
2143 i.e. the number of CA certificates which are max allowed to be followed while
2144 verifying the remote server certificate. A depth of 0 means that self-signed
2145 remote server certificates are accepted only, the default depth of 1 means
2146 the remote server certificate can be self-signed or has to be signed by a CA
2147 which is directly known to the server (i.e. the CA's certificate is under
2148 <code class="directive"><a href="#sslproxycacertificatepath">SSLProxyCACertificatePath</a></code>), etc.</p>
2149 <div class="example"><h3>Example</h3><pre class="prettyprint lang-config">SSLProxyVerifyDepth 10</pre>
2150 </div>
2151
2152 </div>
2153 <div class="top"><a href="#page-header"><img alt="top" src="../images/up.gif" /></a></div>
2154 <div class="directive-section"><h2><a name="SSLRandomSeed" id="SSLRandomSeed">SSLRandomSeed</a> <a name="sslrandomseed" id="sslrandomseed">Directive</a></h2>
2155 <table class="directive">
2156 <tr><th><a href="directive-dict.html#Description">Description:</a></th><td>Pseudo Random Number Generator (PRNG) seeding
2157 source</td></tr>
2158 <tr><th><a href="directive-dict.html#Syntax">Syntax:</a></th><td><code>SSLRandomSeed <em>context</em> <em>source</em>
2159 [<em>bytes</em>]</code></td></tr>
2160 <tr><th><a href="directive-dict.html#Context">Context:</a></th><td>server config</td></tr>
2161 <tr><th><a href="directive-dict.html#Status">Status:</a></th><td>Extension</td></tr>
2162 <tr><th><a href="directive-dict.html#Module">Module:</a></th><td>mod_ssl</td></tr>
2163 </table>
2164 <p>
2165 This configures one or more sources for seeding the Pseudo Random Number
2166 Generator (PRNG) in OpenSSL at startup time (<em>context</em> is
2167 <code>startup</code>) and/or just before a new SSL connection is established
2168 (<em>context</em> is <code>connect</code>). This directive can only be used
2169 in the global server context because the PRNG is a global facility.</p>
2170 <p>
2171 The following <em>source</em> variants are available:</p>
2172 <ul>
2173 <li><code>builtin</code>
2174     <p> This is the always available builtin seeding source. Its usage
2175     consumes minimum CPU cycles under runtime and hence can be always used
2176     without drawbacks. The source used for seeding the PRNG contains of the
2177     current time, the current process id and (when applicable) a randomly
2178     chosen 1KB extract of the inter-process scoreboard structure of Apache.
2179     The drawback is that this is not really a strong source and at startup
2180     time (where the scoreboard is still not available) this source just
2181     produces a few bytes of entropy. So you should always, at least for the
2182     startup, use an additional seeding source.</p></li>
2183 <li><code>file:/path/to/source</code>
2184     <p>
2185     This variant uses an external file <code>/path/to/source</code> as the
2186     source for seeding the PRNG. When <em>bytes</em> is specified, only the
2187     first <em>bytes</em> number of bytes of the file form the entropy (and
2188     <em>bytes</em> is given to <code>/path/to/source</code> as the first
2189     argument). When <em>bytes</em> is not specified the whole file forms the
2190     entropy (and <code>0</code> is given to <code>/path/to/source</code> as
2191     the first argument). Use this especially at startup time, for instance
2192     with an available <code>/dev/random</code> and/or
2193     <code>/dev/urandom</code> devices (which usually exist on modern Unix
2194     derivatives like FreeBSD and Linux).</p>
2195     <p>
2196     <em>But be careful</em>: Usually <code>/dev/random</code> provides only as
2197     much entropy data as it actually has, i.e. when you request 512 bytes of
2198     entropy, but the device currently has only 100 bytes available two things
2199     can happen: On some platforms you receive only the 100 bytes while on
2200     other platforms the read blocks until enough bytes are available (which
2201     can take a long time). Here using an existing <code>/dev/urandom</code> is
2202     better, because it never blocks and actually gives the amount of requested
2203     data. The drawback is just that the quality of the received data may not
2204     be the best.</p></li>
2205
2206 <li><code>exec:/path/to/program</code>
2207     <p>
2208     This variant uses an external executable
2209     <code>/path/to/program</code> as the source for seeding the
2210     PRNG. When <em>bytes</em> is specified, only the first
2211     <em>bytes</em> number of bytes of its <code>stdout</code> contents
2212     form the entropy. When <em>bytes</em> is not specified, the
2213     entirety of the data produced on <code>stdout</code> form the
2214     entropy. Use this only at startup time when you need a very strong
2215     seeding with the help of an external program (for instance as in
2216     the example above with the <code>truerand</code> utility you can
2217     find in the mod_ssl distribution which is based on the AT&amp;T
2218     <em>truerand</em> library). Using this in the connection context
2219     slows down the server too dramatically, of course.  So usually you
2220     should avoid using external programs in that context.</p></li>
2221 <li><code>egd:/path/to/egd-socket</code> (Unix only)
2222     <p>
2223     This variant uses the Unix domain socket of the
2224     external Entropy Gathering Daemon (EGD) (see <a href="http://www.lothar.com/tech/crypto/">http://www.lothar.com/tech
2225     /crypto/</a>) to seed the PRNG. Use this if no random device exists
2226     on your platform.</p></li>
2227 </ul>
2228 <div class="example"><h3>Example</h3><pre class="prettyprint lang-config">SSLRandomSeed startup builtin
2229 SSLRandomSeed startup "file:/dev/random"
2230 SSLRandomSeed startup "file:/dev/urandom" 1024
2231 SSLRandomSeed startup "exec:/usr/local/bin/truerand" 16
2232 SSLRandomSeed connect builtin
2233 SSLRandomSeed connect "file:/dev/random"
2234 SSLRandomSeed connect "file:/dev/urandom" 1024</pre>
2235 </div>
2236
2237 </div>
2238 <div class="top"><a href="#page-header"><img alt="top" src="../images/up.gif" /></a></div>
2239 <div class="directive-section"><h2><a name="SSLRenegBufferSize" id="SSLRenegBufferSize">SSLRenegBufferSize</a> <a name="sslrenegbuffersize" id="sslrenegbuffersize">Directive</a></h2>
2240 <table class="directive">
2241 <tr><th><a href="directive-dict.html#Description">Description:</a></th><td>Set the size for the SSL renegotiation buffer</td></tr>
2242 <tr><th><a href="directive-dict.html#Syntax">Syntax:</a></th><td><code>SSLRenegBufferSize <var>bytes</var></code></td></tr>
2243 <tr><th><a href="directive-dict.html#Default">Default:</a></th><td><code>SSLRenegBufferSize 131072</code></td></tr>
2244 <tr><th><a href="directive-dict.html#Context">Context:</a></th><td>directory, .htaccess</td></tr>
2245 <tr><th><a href="directive-dict.html#Override">Override:</a></th><td>AuthConfig</td></tr>
2246 <tr><th><a href="directive-dict.html#Status">Status:</a></th><td>Extension</td></tr>
2247 <tr><th><a href="directive-dict.html#Module">Module:</a></th><td>mod_ssl</td></tr>
2248 </table>
2249
2250 <p>If an SSL renegotiation is required in per-location context, for
2251 example, any use of <code class="directive"><a href="#sslverifyclient">SSLVerifyClient</a></code> in a Directory or
2252 Location block, then <code class="module"><a href="../mod/mod_ssl.html">mod_ssl</a></code> must buffer any HTTP
2253 request body into memory until the new SSL handshake can be performed.
2254 This directive can be used to set the amount of memory that will be
2255 used for this buffer. </p>
2256
2257 <div class="warning"><p>
2258 Note that in many configurations, the client sending the request body
2259 will be untrusted so a denial of service attack by consumption of
2260 memory must be considered when changing this configuration setting.
2261 </p></div>
2262
2263 <div class="example"><h3>Example</h3><pre class="prettyprint lang-config">SSLRenegBufferSize 262144</pre>
2264 </div>
2265
2266 </div>
2267 <div class="top"><a href="#page-header"><img alt="top" src="../images/up.gif" /></a></div>
2268 <div class="directive-section"><h2><a name="SSLRequire" id="SSLRequire">SSLRequire</a> <a name="sslrequire" id="sslrequire">Directive</a></h2>
2269 <table class="directive">
2270 <tr><th><a href="directive-dict.html#Description">Description:</a></th><td>Allow access only when an arbitrarily complex
2271 boolean expression is true</td></tr>
2272 <tr><th><a href="directive-dict.html#Syntax">Syntax:</a></th><td><code>SSLRequire <em>expression</em></code></td></tr>
2273 <tr><th><a href="directive-dict.html#Context">Context:</a></th><td>directory, .htaccess</td></tr>
2274 <tr><th><a href="directive-dict.html#Override">Override:</a></th><td>AuthConfig</td></tr>
2275 <tr><th><a href="directive-dict.html#Status">Status:</a></th><td>Extension</td></tr>
2276 <tr><th><a href="directive-dict.html#Module">Module:</a></th><td>mod_ssl</td></tr>
2277 </table>
2278
2279 <div class="note"><h3>SSLRequire is deprecated</h3>
2280 <p><code>SSLRequire</code> is deprecated and should in general be replaced
2281 by <a href="mod_authz_core.html#reqexpr">Require expr</a>. The so called
2282 <a href="../expr.html">ap_expr</a> syntax of <code>Require expr</code> is
2283 a superset of the syntax of <code>SSLRequire</code>, with the following
2284 exception:</p>
2285
2286 <p>In <code>SSLRequire</code>, the comparison operators <code>&lt;</code>,
2287 <code>&lt;=</code>, ... are completely equivalent to the operators
2288 <code>lt</code>, <code>le</code>, ... and work in a somewhat peculiar way that
2289 first compares the length of two strings and then the lexical order.
2290 On the other hand, <a href="../expr.html">ap_expr</a> has two sets of
2291 comparison operators: The operators <code>&lt;</code>,
2292 <code>&lt;=</code>, ... do lexical string comparison, while the operators
2293 <code>-lt</code>, <code>-le</code>, ... do integer comparison.
2294 For the latter, there are also aliases without the leading dashes:
2295 <code>lt</code>, <code>le</code>, ...
2296 </p>
2297
2298 </div>
2299
2300 <p>
2301 This directive specifies a general access requirement which has to be
2302 fulfilled in order to allow access. It is a very powerful directive because the
2303 requirement specification is an arbitrarily complex boolean expression
2304 containing any number of access checks.</p>
2305 <p>
2306 The <em>expression</em> must match the following syntax (given as a BNF
2307 grammar notation):</p>
2308 <blockquote>
2309 <pre>expr     ::= "<strong>true</strong>" | "<strong>false</strong>"
2310            | "<strong>!</strong>" expr
2311            | expr "<strong>&amp;&amp;</strong>" expr
2312            | expr "<strong>||</strong>" expr
2313            | "<strong>(</strong>" expr "<strong>)</strong>"
2314            | comp
2315
2316 comp     ::= word "<strong>==</strong>" word | word "<strong>eq</strong>" word
2317            | word "<strong>!=</strong>" word | word "<strong>ne</strong>" word
2318            | word "<strong>&lt;</strong>"  word | word "<strong>lt</strong>" word
2319            | word "<strong>&lt;=</strong>" word | word "<strong>le</strong>" word
2320            | word "<strong>&gt;</strong>"  word | word "<strong>gt</strong>" word
2321            | word "<strong>&gt;=</strong>" word | word "<strong>ge</strong>" word
2322            | word "<strong>in</strong>" "<strong>{</strong>" wordlist "<strong>}</strong>"
2323            | word "<strong>in</strong>" "<strong>PeerExtList(</strong>" word "<strong>)</strong>"
2324            | word "<strong>=~</strong>" regex
2325            | word "<strong>!~</strong>" regex
2326
2327 wordlist ::= word
2328            | wordlist "<strong>,</strong>" word
2329
2330 word     ::= digit
2331            | cstring
2332            | variable
2333            | function
2334
2335 digit    ::= [0-9]+
2336 cstring  ::= "..."
2337 variable ::= "<strong>%{</strong>" varname "<strong>}</strong>"
2338 function ::= funcname "<strong>(</strong>" funcargs "<strong>)</strong>"</pre>
2339 </blockquote>
2340 <p>For <code>varname</code> any of the variables described in <a href="#envvars">Environment Variables</a> can be used.  For
2341 <code>funcname</code> the available functions are listed in
2342 the <a href="../expr.html#functions">ap_expr documentation</a>.</p>
2343
2344 <p>The <em>expression</em> is parsed into an internal machine
2345 representation when the configuration is loaded, and then evaluated
2346 during request processing.  In .htaccess context, the <em>expression</em> is
2347 both parsed and executed each time the .htaccess file is encountered during
2348 request processing.</p>
2349
2350 <div class="example"><h3>Example</h3><pre class="prettyprint lang-config">SSLRequire (    %{SSL_CIPHER} !~ m/^(EXP|NULL)-/                   \
2351             and %{SSL_CLIENT_S_DN_O} eq "Snake Oil, Ltd."          \
2352             and %{SSL_CLIENT_S_DN_OU} in {"Staff", "CA", "Dev"}    \
2353             and %{TIME_WDAY} -ge 1 and %{TIME_WDAY} -le 5          \
2354             and %{TIME_HOUR} -ge 8 and %{TIME_HOUR} -le 20       ) \
2355            or %{REMOTE_ADDR} =~ m/^192\.76\.162\.[0-9]+$/</pre>
2356 </div>
2357
2358 <p>The <code>PeerExtList(<em>object-ID</em>)</code> function expects
2359 to find zero or more instances of the X.509 certificate extension
2360 identified by the given <em>object ID</em> (OID) in the client certificate.
2361 The expression evaluates to true if the left-hand side string matches
2362 exactly against the value of an extension identified with this OID.
2363 (If multiple extensions with the same OID are present, at least one
2364 extension must match).</p>
2365
2366 <div class="example"><h3>Example</h3><pre class="prettyprint lang-config">SSLRequire "foobar" in PeerExtList("1.2.3.4.5.6")</pre>
2367 </div>
2368
2369 <div class="note"><h3>Notes on the PeerExtList function</h3>
2370
2371 <ul>
2372
2373 <li><p>The object ID can be specified either as a descriptive
2374 name recognized by the SSL library, such as <code>"nsComment"</code>,
2375 or as a numeric OID, such as <code>"1.2.3.4.5.6"</code>.</p></li>
2376
2377 <li><p>Expressions with types known to the SSL library are rendered to
2378 a string before comparison.  For an extension with a type not
2379 recognized by the SSL library, mod_ssl will parse the value if it is
2380 one of the primitive ASN.1 types UTF8String, IA5String, VisibleString,
2381 or BMPString.  For an extension of one of these types, the string
2382 value will be converted to UTF-8 if necessary, then compared against
2383 the left-hand-side expression.</p></li>
2384
2385 </ul>
2386 </div>
2387
2388
2389 <h3>See also</h3>
2390 <ul>
2391 <li><a href="../env.html">Environment Variables in Apache HTTP Server</a>,
2392 for additional examples.
2393 </li>
2394 <li><a href="mod_authz_core.html#reqexpr">Require expr</a></li>
2395 <li><a href="../expr.html">Generic expression syntax in Apache HTTP Server</a>
2396 </li>
2397 </ul>
2398 </div>
2399 <div class="top"><a href="#page-header"><img alt="top" src="../images/up.gif" /></a></div>
2400 <div class="directive-section"><h2><a name="SSLRequireSSL" id="SSLRequireSSL">SSLRequireSSL</a> <a name="sslrequiressl" id="sslrequiressl">Directive</a></h2>
2401 <table class="directive">
2402 <tr><th><a href="directive-dict.html#Description">Description:</a></th><td>Deny access when SSL is not used for the
2403 HTTP request</td></tr>
2404 <tr><th><a href="directive-dict.html#Syntax">Syntax:</a></th><td><code>SSLRequireSSL</code></td></tr>
2405 <tr><th><a href="directive-dict.html#Context">Context:</a></th><td>directory, .htaccess</td></tr>
2406 <tr><th><a href="directive-dict.html#Override">Override:</a></th><td>AuthConfig</td></tr>
2407 <tr><th><a href="directive-dict.html#Status">Status:</a></th><td>Extension</td></tr>
2408 <tr><th><a href="directive-dict.html#Module">Module:</a></th><td>mod_ssl</td></tr>
2409 </table>
2410 <p>
2411 This directive forbids access unless HTTP over SSL (i.e. HTTPS) is enabled for
2412 the current connection. This is very handy inside the SSL-enabled virtual
2413 host or directories for defending against configuration errors that expose
2414 stuff that should be protected. When this directive is present all requests
2415 are denied which are not using SSL.</p>
2416 <div class="example"><h3>Example</h3><pre class="prettyprint lang-config">SSLRequireSSL</pre>
2417 </div>
2418
2419 </div>
2420 <div class="top"><a href="#page-header"><img alt="top" src="../images/up.gif" /></a></div>
2421 <div class="directive-section"><h2><a name="SSLSessionCache" id="SSLSessionCache">SSLSessionCache</a> <a name="sslsessioncache" id="sslsessioncache">Directive</a></h2>
2422 <table class="directive">
2423 <tr><th><a href="directive-dict.html#Description">Description:</a></th><td>Type of the global/inter-process SSL Session
2424 Cache</td></tr>
2425 <tr><th><a href="directive-dict.html#Syntax">Syntax:</a></th><td><code>SSLSessionCache <em>type</em></code></td></tr>
2426 <tr><th><a href="directive-dict.html#Default">Default:</a></th><td><code>SSLSessionCache none</code></td></tr>
2427 <tr><th><a href="directive-dict.html#Context">Context:</a></th><td>server config</td></tr>
2428 <tr><th><a href="directive-dict.html#Status">Status:</a></th><td>Extension</td></tr>
2429 <tr><th><a href="directive-dict.html#Module">Module:</a></th><td>mod_ssl</td></tr>
2430 </table>
2431 <p>
2432 This configures the storage type of the global/inter-process SSL Session
2433 Cache. This cache is an optional facility which speeds up parallel request
2434 processing. For requests to the same server process (via HTTP keep-alive),
2435 OpenSSL already caches the SSL session information locally. But because modern
2436 clients request inlined images and other data via parallel requests (usually
2437 up to four parallel requests are common) those requests are served by
2438 <em>different</em> pre-forked server processes. Here an inter-process cache
2439 helps to avoid unnecessary session handshakes.</p>
2440 <p>
2441 The following five storage <em>type</em>s are currently supported:</p>
2442 <ul>
2443 <li><code>none</code>
2444
2445     <p>This disables the global/inter-process Session Cache.  This
2446     will incur a noticeable speed penalty and may cause problems if
2447     using certain browsers, particularly if client certificates are
2448     enabled.  This setting is not recommended.</p></li>
2449
2450 <li><code>nonenotnull</code>
2451
2452     <p>This disables any global/inter-process Session Cache.  However
2453     it does force OpenSSL to send a non-null session ID to
2454     accommodate buggy clients that require one.</p></li>
2455
2456 <li><code>dbm:/path/to/datafile</code>
2457
2458     <p>This makes use of a DBM hashfile on the local disk to
2459     synchronize the local OpenSSL memory caches of the server
2460     processes. This session cache may suffer reliability issues under
2461     high load. To use this, ensure that
2462     <code class="module"><a href="../mod/mod_socache_dbm.html">mod_socache_dbm</a></code> is loaded.</p></li>
2463
2464 <li><code>shmcb:/path/to/datafile</code>[<code>(</code><em>size</em><code>)</code>]
2465
2466     <p>This makes use of a high-performance cyclic buffer
2467     (approx. <em>size</em> bytes in size) inside a shared memory
2468     segment in RAM (established via <code>/path/to/datafile</code>) to
2469     synchronize the local OpenSSL memory caches of the server
2470     processes.  This is the recommended session cache. To use this,
2471     ensure that <code class="module"><a href="../mod/mod_socache_shmcb.html">mod_socache_shmcb</a></code> is loaded.</p></li>
2472
2473 <li><code>dc:UNIX:/path/to/socket</code>
2474
2475     <p>This makes use of the <a href="http://distcache.sourceforge.net/">distcache</a> distributed session
2476     caching libraries.  The argument should specify the location of
2477     the server or proxy to be used using the distcache address syntax;
2478     for example, <code>UNIX:/path/to/socket</code> specifies a UNIX
2479     domain socket (typically a local dc_client proxy);
2480     <code>IP:server.example.com:9001</code> specifies an IP
2481     address. To use this, ensure that
2482     <code class="module"><a href="../mod/mod_socache_dc.html">mod_socache_dc</a></code> is loaded.</p></li>
2483
2484 </ul>
2485
2486 <div class="example"><h3>Examples</h3><pre class="prettyprint lang-config">SSLSessionCache "dbm:/usr/local/apache/logs/ssl_gcache_data"
2487 SSLSessionCache "shmcb:/usr/local/apache/logs/ssl_gcache_data(512000)"</pre>
2488 </div>
2489
2490 <p>The <code>ssl-cache</code> mutex is used to serialize access to
2491 the session cache to prevent corruption.  This mutex can be configured
2492 using the <code class="directive"><a href="../mod/core.html#mutex">Mutex</a></code> directive.</p>
2493
2494 </div>
2495 <div class="top"><a href="#page-header"><img alt="top" src="../images/up.gif" /></a></div>
2496 <div class="directive-section"><h2><a name="SSLSessionCacheTimeout" id="SSLSessionCacheTimeout">SSLSessionCacheTimeout</a> <a name="sslsessioncachetimeout" id="sslsessioncachetimeout">Directive</a></h2>
2497 <table class="directive">
2498 <tr><th><a href="directive-dict.html#Description">Description:</a></th><td>Number of seconds before an SSL session expires
2499 in the Session Cache</td></tr>
2500 <tr><th><a href="directive-dict.html#Syntax">Syntax:</a></th><td><code>SSLSessionCacheTimeout <em>seconds</em></code></td></tr>
2501 <tr><th><a href="directive-dict.html#Default">Default:</a></th><td><code>SSLSessionCacheTimeout 300</code></td></tr>
2502 <tr><th><a href="directive-dict.html#Context">Context:</a></th><td>server config, virtual host</td></tr>
2503 <tr><th><a href="directive-dict.html#Status">Status:</a></th><td>Extension</td></tr>
2504 <tr><th><a href="directive-dict.html#Module">Module:</a></th><td>mod_ssl</td></tr>
2505 <tr><th><a href="directive-dict.html#Compatibility">Compatibility:</a></th><td>Applies also to RFC 5077 TLS session resumption in Apache 2.4.10 and later</td></tr>
2506 </table>
2507 <p>
2508 This directive sets the timeout in seconds for the information stored in the
2509 global/inter-process SSL Session Cache, the OpenSSL internal memory cache and
2510 for sessions resumed by TLS session resumption (RFC 5077).
2511 It can be set as low as 15 for testing, but should be set to higher
2512 values like 300 in real life.</p>
2513 <div class="example"><h3>Example</h3><pre class="prettyprint lang-config">SSLSessionCacheTimeout 600</pre>
2514 </div>
2515
2516 </div>
2517 <div class="top"><a href="#page-header"><img alt="top" src="../images/up.gif" /></a></div>
2518 <div class="directive-section"><h2><a name="SSLSessionTicketKeyFile" id="SSLSessionTicketKeyFile">SSLSessionTicketKeyFile</a> <a name="sslsessionticketkeyfile" id="sslsessionticketkeyfile">Directive</a></h2>
2519 <table class="directive">
2520 <tr><th><a href="directive-dict.html#Description">Description:</a></th><td>Persistent encryption/decryption key for TLS session tickets</td></tr>
2521 <tr><th><a href="directive-dict.html#Syntax">Syntax:</a></th><td><code>SSLSessionTicketKeyFile <em>file-path</em></code></td></tr>
2522 <tr><th><a href="directive-dict.html#Context">Context:</a></th><td>server config, virtual host</td></tr>
2523 <tr><th><a href="directive-dict.html#Status">Status:</a></th><td>Extension</td></tr>
2524 <tr><th><a href="directive-dict.html#Module">Module:</a></th><td>mod_ssl</td></tr>
2525 <tr><th><a href="directive-dict.html#Compatibility">Compatibility:</a></th><td>Available in httpd 2.4.0 and later, if using OpenSSL 0.9.8h or later</td></tr>
2526 </table>
2527 <p>Optionally configures a secret key for encrypting and decrypting
2528 TLS session tickets, as defined in
2529 <a href="http://www.ietf.org/rfc/rfc5077.txt">RFC 5077</a>.
2530 Primarily suitable for clustered environments where TLS sessions information
2531 should be shared between multiple nodes. For single-instance httpd setups,
2532 it is recommended to <em>not</em> configure a ticket key file, but to
2533 rely on (random) keys generated by mod_ssl at startup, instead.</p>
2534 <p>The ticket key file must contain 48 bytes of random data,
2535 preferrably created from a high-entropy source. On a Unix-based system,
2536 a ticket key file can be created as follows:</p>
2537
2538 <div class="example"><p><code>
2539 dd if=/dev/random of=/path/to/file.tkey bs=1 count=48
2540 </code></p></div>
2541
2542 <p>Ticket keys should be rotated (replaced) on a frequent basis,
2543 as this is the only way to invalidate an existing session ticket -
2544 OpenSSL currently doesn't allow to specify a limit for ticket lifetimes.
2545 A new ticket key only gets used after restarting the web server.
2546 All existing session tickets become invalid after a restart.</p>
2547
2548 <div class="warning">
2549 <p>The ticket key file contains sensitive keying material and should
2550 be protected with file permissions similar to those used for
2551 <code class="directive"><a href="#sslcertificatekeyfile">SSLCertificateKeyFile</a></code>.</p>
2552 </div>
2553
2554 </div>
2555 <div class="top"><a href="#page-header"><img alt="top" src="../images/up.gif" /></a></div>
2556 <div class="directive-section"><h2><a name="SSLSessionTickets" id="SSLSessionTickets">SSLSessionTickets</a> <a name="sslsessiontickets" id="sslsessiontickets">Directive</a></h2>
2557 <table class="directive">
2558 <tr><th><a href="directive-dict.html#Description">Description:</a></th><td>Enable or disable use of TLS session tickets</td></tr>
2559 <tr><th><a href="directive-dict.html#Syntax">Syntax:</a></th><td><code>SSLSessionTickets on|off</code></td></tr>
2560 <tr><th><a href="directive-dict.html#Default">Default:</a></th><td><code>SSLSessionTickets on</code></td></tr>
2561 <tr><th><a href="directive-dict.html#Context">Context:</a></th><td>server config, virtual host</td></tr>
2562 <tr><th><a href="directive-dict.html#Status">Status:</a></th><td>Extension</td></tr>
2563 <tr><th><a href="directive-dict.html#Module">Module:</a></th><td>mod_ssl</td></tr>
2564 <tr><th><a href="directive-dict.html#Compatibility">Compatibility:</a></th><td>Available in httpd 2.4.11 and later, if using OpenSSL 0.9.8f
2565 or later.</td></tr>
2566 </table>
2567 <p>This directive allows to enable or disable the use of TLS session tickets
2568 (RFC 5077).</p>
2569 <div class="warning">
2570 <p>TLS session tickets are enabled by default. Using them without restarting
2571 the web server with an appropriate frequency (e.g. daily) compromises perfect
2572 forward secrecy.</p>
2573 </div>
2574
2575 </div>
2576 <div class="top"><a href="#page-header"><img alt="top" src="../images/up.gif" /></a></div>
2577 <div class="directive-section"><h2><a name="SSLSRPUnknownUserSeed" id="SSLSRPUnknownUserSeed">SSLSRPUnknownUserSeed</a> <a name="sslsrpunknownuserseed" id="sslsrpunknownuserseed">Directive</a></h2>
2578 <table class="directive">
2579 <tr><th><a href="directive-dict.html#Description">Description:</a></th><td>SRP unknown user seed</td></tr>
2580 <tr><th><a href="directive-dict.html#Syntax">Syntax:</a></th><td><code>SSLSRPUnknownUserSeed <em>secret-string</em></code></td></tr>
2581 <tr><th><a href="directive-dict.html#Context">Context:</a></th><td>server config, virtual host</td></tr>
2582 <tr><th><a href="directive-dict.html#Status">Status:</a></th><td>Extension</td></tr>
2583 <tr><th><a href="directive-dict.html#Module">Module:</a></th><td>mod_ssl</td></tr>
2584 <tr><th><a href="directive-dict.html#Compatibility">Compatibility:</a></th><td>Available in httpd 2.4.4 and later, if using OpenSSL 1.0.1 or
2585 later</td></tr>
2586 </table>
2587 <p>
2588 This directive sets the seed used to fake SRP user parameters for unknown
2589 users, to avoid leaking whether a given user exists. Specify a secret
2590 string. If this directive is not used, then Apache will return the
2591 UNKNOWN_PSK_IDENTITY alert to clients who specify an unknown username.
2592 </p>
2593 <div class="example"><h3>Example</h3><p><code>
2594 SSLSRPUnknownUserSeed "secret"
2595 </code></p></div>
2596
2597 </div>
2598 <div class="top"><a href="#page-header"><img alt="top" src="../images/up.gif" /></a></div>
2599 <div class="directive-section"><h2><a name="SSLSRPVerifierFile" id="SSLSRPVerifierFile">SSLSRPVerifierFile</a> <a name="sslsrpverifierfile" id="sslsrpverifierfile">Directive</a></h2>
2600 <table class="directive">
2601 <tr><th><a href="directive-dict.html#Description">Description:</a></th><td>Path to SRP verifier file</td></tr>
2602 <tr><th><a href="directive-dict.html#Syntax">Syntax:</a></th><td><code>SSLSRPVerifierFile <em>file-path</em></code></td></tr>
2603 <tr><th><a href="directive-dict.html#Context">Context:</a></th><td>server config, virtual host</td></tr>
2604 <tr><th><a href="directive-dict.html#Status">Status:</a></th><td>Extension</td></tr>
2605 <tr><th><a href="directive-dict.html#Module">Module:</a></th><td>mod_ssl</td></tr>
2606 <tr><th><a href="directive-dict.html#Compatibility">Compatibility:</a></th><td>Available in httpd 2.4.4 and later, if using OpenSSL 1.0.1 or
2607 later</td></tr>
2608 </table>
2609 <p>
2610 This directive enables TLS-SRP and sets the path to the OpenSSL SRP (Secure
2611 Remote Password) verifier file containing TLS-SRP usernames, verifiers, salts,
2612 and group parameters.</p>
2613 <div class="example"><h3>Example</h3><p><code>
2614 SSLSRPVerifierFile "/path/to/file.srpv"
2615 </code></p></div>
2616 <p>
2617 The verifier file can be created with the <code>openssl</code> command line
2618 utility:</p>
2619 <div class="example"><h3>Creating the SRP verifier file</h3><p><code>
2620 openssl srp -srpvfile passwd.srpv -userinfo "some info" -add username
2621 </code></p></div>
2622 <p> The value given with the optional <code>-userinfo</code> parameter is
2623 avalable in the <code>SSL_SRP_USERINFO</code> request environment variable.</p>
2624
2625
2626 </div>
2627 <div class="top"><a href="#page-header"><img alt="top" src="../images/up.gif" /></a></div>
2628 <div class="directive-section"><h2><a name="SSLStaplingCache" id="SSLStaplingCache">SSLStaplingCache</a> <a name="sslstaplingcache" id="sslstaplingcache">Directive</a></h2>
2629 <table class="directive">
2630 <tr><th><a href="directive-dict.html#Description">Description:</a></th><td>Configures the OCSP stapling cache</td></tr>
2631 <tr><th><a href="directive-dict.html#Syntax">Syntax:</a></th><td><code>SSLStaplingCache <em>type</em></code></td></tr>
2632 <tr><th><a href="directive-dict.html#Context">Context:</a></th><td>server config</td></tr>
2633 <tr><th><a href="directive-dict.html#Status">Status:</a></th><td>Extension</td></tr>
2634 <tr><th><a href="directive-dict.html#Module">Module:</a></th><td>mod_ssl</td></tr>
2635 <tr><th><a href="directive-dict.html#Compatibility">Compatibility:</a></th><td>Available if using OpenSSL 0.9.8h or later</td></tr>
2636 </table>
2637 <p>Configures the cache used to store OCSP responses which get included
2638 in the TLS handshake if <code class="directive"><a href="#sslusestapling">SSLUseStapling</a></code>
2639 is enabled. Configuration of a cache is mandatory for OCSP stapling.
2640 With the exception of <code>none</code> and <code>nonenotnull</code>,
2641 the same storage types are supported as with
2642 <code class="directive"><a href="#sslsessioncache">SSLSessionCache</a></code>.</p>
2643
2644 </div>
2645 <div class="top"><a href="#page-header"><img alt="top" src="../images/up.gif" /></a></div>
2646 <div class="directive-section"><h2><a name="SSLStaplingErrorCacheTimeout" id="SSLStaplingErrorCacheTimeout">SSLStaplingErrorCacheTimeout</a> <a name="sslstaplingerrorcachetimeout" id="sslstaplingerrorcachetimeout">Directive</a></h2>
2647 <table class="directive">
2648 <tr><th><a href="directive-dict.html#Description">Description:</a></th><td>Number of seconds before expiring invalid responses in the OCSP stapling cache</td></tr>
2649 <tr><th><a href="directive-dict.html#Syntax">Syntax:</a></th><td><code>SSLStaplingErrorCacheTimeout <em>seconds</em></code></td></tr>
2650 <tr><th><a href="directive-dict.html#Default">Default:</a></th><td><code>SSLStaplingErrorCacheTimeout 600</code></td></tr>
2651 <tr><th><a href="directive-dict.html#Context">Context:</a></th><td>server config, virtual host</td></tr>
2652 <tr><th><a href="directive-dict.html#Status">Status:</a></th><td>Extension</td></tr>
2653 <tr><th><a href="directive-dict.html#Module">Module:</a></th><td>mod_ssl</td></tr>
2654 <tr><th><a href="directive-dict.html#Compatibility">Compatibility:</a></th><td>Available if using OpenSSL 0.9.8h or later</td></tr>
2655 </table>
2656 <p>Sets the timeout in seconds before <em>invalid</em> responses
2657 in the OCSP stapling cache (configured through <code class="directive"><a href="#sslstaplingcache">SSLStaplingCache</a></code>) will expire.
2658 To set the cache timeout for valid responses, see
2659 <code class="directive"><a href="#sslstaplingstandardcachetimeout">SSLStaplingStandardCacheTimeout</a></code>.</p>
2660
2661 </div>
2662 <div class="top"><a href="#page-header"><img alt="top" src="../images/up.gif" /></a></div>
2663 <div class="directive-section"><h2><a name="SSLStaplingFakeTryLater" id="SSLStaplingFakeTryLater">SSLStaplingFakeTryLater</a> <a name="sslstaplingfaketrylater" id="sslstaplingfaketrylater">Directive</a></h2>
2664 <table class="directive">
2665 <tr><th><a href="directive-dict.html#Description">Description:</a></th><td>Synthesize "tryLater" responses for failed OCSP stapling queries</td></tr>
2666 <tr><th><a href="directive-dict.html#Syntax">Syntax:</a></th><td><code>SSLStaplingFakeTryLater on|off</code></td></tr>
2667 <tr><th><a href="directive-dict.html#Default">Default:</a></th><td><code>SSLStaplingFakeTryLater on</code></td></tr>
2668 <tr><th><a href="directive-dict.html#Context">Context:</a></th><td>server config, virtual host</td></tr>
2669 <tr><th><a href="directive-dict.html#Status">Status:</a></th><td>Extension</td></tr>
2670 <tr><th><a href="directive-dict.html#Module">Module:</a></th><td>mod_ssl</td></tr>
2671 <tr><th><a href="directive-dict.html#Compatibility">Compatibility:</a></th><td>Available if using OpenSSL 0.9.8h or later</td></tr>
2672 </table>
2673 <p>When enabled and a query to an OCSP responder for stapling
2674 purposes fails, mod_ssl will synthesize a "tryLater" response for the
2675 client. Only effective if <code class="directive"><a href="#sslstaplingreturnrespondererrors">SSLStaplingReturnResponderErrors</a></code>
2676 is also enabled.</p>
2677
2678 </div>
2679 <div class="top"><a href="#page-header"><img alt="top" src="../images/up.gif" /></a></div>
2680 <div class="directive-section"><h2><a name="SSLStaplingForceURL" id="SSLStaplingForceURL">SSLStaplingForceURL</a> <a name="sslstaplingforceurl" id="sslstaplingforceurl">Directive</a></h2>
2681 <table class="directive">
2682 <tr><th><a href="directive-dict.html#Description">Description:</a></th><td>Override the OCSP responder URI specified in the certificate's AIA extension</td></tr>
2683 <tr><th><a href="directive-dict.html#Syntax">Syntax:</a></th><td><code>SSLStaplingForceURL <em>uri</em></code></td></tr>
2684 <tr><th><a href="directive-dict.html#Context">Context:</a></th><td>server config, virtual host</td></tr>
2685 <tr><th><a href="directive-dict.html#Status">Status:</a></th><td>Extension</td></tr>
2686 <tr><th><a href="directive-dict.html#Module">Module:</a></th><td>mod_ssl</td></tr>
2687 <tr><th><a href="directive-dict.html#Compatibility">Compatibility:</a></th><td>Available if using OpenSSL 0.9.8h or later</td></tr>
2688 </table>
2689 <p>This directive overrides the URI of an OCSP responder as obtained from
2690 the authorityInfoAccess (AIA) extension of the certificate.
2691 One potential use is when a proxy is used for retrieving OCSP queries.</p>
2692
2693 </div>
2694 <div class="top"><a href="#page-header"><img alt="top" src="../images/up.gif" /></a></div>
2695 <div class="directive-section"><h2><a name="SSLStaplingResponderTimeout" id="SSLStaplingResponderTimeout">SSLStaplingResponderTimeout</a> <a name="sslstaplingrespondertimeout" id="sslstaplingrespondertimeout">Directive</a></h2>
2696 <table class="directive">
2697 <tr><th><a href="directive-dict.html#Description">Description:</a></th><td>Timeout for OCSP stapling queries</td></tr>
2698 <tr><th><a href="directive-dict.html#Syntax">Syntax:</a></th><td><code>SSLStaplingResponderTimeout <em>seconds</em></code></td></tr>
2699 <tr><th><a href="directive-dict.html#Default">Default:</a></th><td><code>SSLStaplingResponderTimeout 10</code></td></tr>
2700 <tr><th><a href="directive-dict.html#Context">Context:</a></th><td>server config, virtual host</td></tr>
2701 <tr><th><a href="directive-dict.html#Status">Status:</a></th><td>Extension</td></tr>
2702 <tr><th><a href="directive-dict.html#Module">Module:</a></th><td>mod_ssl</td></tr>
2703 <tr><th><a href="directive-dict.html#Compatibility">Compatibility:</a></th><td>Available if using OpenSSL 0.9.8h or later</td></tr>
2704 </table>
2705 <p>This option sets the timeout for queries to OCSP responders when
2706 <code class="directive"><a href="#sslusestapling">SSLUseStapling</a></code> is enabled
2707 and mod_ssl is querying a responder for OCSP stapling purposes.</p>
2708
2709 </div>
2710 <div class="top"><a href="#page-header"><img alt="top" src="../images/up.gif" /></a></div>
2711 <div class="directive-section"><h2><a name="SSLStaplingResponseMaxAge" id="SSLStaplingResponseMaxAge">SSLStaplingResponseMaxAge</a> <a name="sslstaplingresponsemaxage" id="sslstaplingresponsemaxage">Directive</a></h2>
2712 <table class="directive">
2713 <tr><th><a href="directive-dict.html#Description">Description:</a></th><td>Maximum allowable age for OCSP stapling responses</td></tr>
2714 <tr><th><a href="directive-dict.html#Syntax">Syntax:</a></th><td><code>SSLStaplingResponseMaxAge <em>seconds</em></code></td></tr>
2715 <tr><th><a href="directive-dict.html#Default">Default:</a></th><td><code>SSLStaplingResponseMaxAge -1</code></td></tr>
2716 <tr><th><a href="directive-dict.html#Context">Context:</a></th><td>server config, virtual host</td></tr>
2717 <tr><th><a href="directive-dict.html#Status">Status:</a></th><td>Extension</td></tr>
2718 <tr><th><a href="directive-dict.html#Module">Module:</a></th><td>mod_ssl</td></tr>
2719 <tr><th><a href="directive-dict.html#Compatibility">Compatibility:</a></th><td>Available if using OpenSSL 0.9.8h or later</td></tr>
2720 </table>
2721 <p>This option sets the maximum allowable age ("freshness") when
2722 considering OCSP responses for stapling purposes, i.e. when
2723 <code class="directive"><a href="#sslusestapling">SSLUseStapling</a></code> is turned on.
2724 The default value (<code>-1</code>) does not enforce a maximum age,
2725 which means that OCSP responses are considered valid as long as their
2726 <code>nextUpdate</code> field is in the future.</p>
2727
2728 </div>
2729 <div class="top"><a href="#page-header"><img alt="top" src="../images/up.gif" /></a></div>
2730 <div class="directive-section"><h2><a name="SSLStaplingResponseTimeSkew" id="SSLStaplingResponseTimeSkew">SSLStaplingResponseTimeSkew</a> <a name="sslstaplingresponsetimeskew" id="sslstaplingresponsetimeskew">Directive</a></h2>
2731 <table class="directive">
2732 <tr><th><a href="directive-dict.html#Description">Description:</a></th><td>Maximum allowable time skew for OCSP stapling response validation</td></tr>
2733 <tr><th><a href="directive-dict.html#Syntax">Syntax:</a></th><td><code>SSLStaplingResponseTimeSkew <em>seconds</em></code></td></tr>
2734 <tr><th><a href="directive-dict.html#Default">Default:</a></th><td><code>SSLStaplingResponseTimeSkew 300</code></td></tr>
2735 <tr><th><a href="directive-dict.html#Context">Context:</a></th><td>server config, virtual host</td></tr>
2736 <tr><th><a href="directive-dict.html#Status">Status:</a></th><td>Extension</td></tr>
2737 <tr><th><a href="directive-dict.html#Module">Module:</a></th><td>mod_ssl</td></tr>
2738 <tr><th><a href="directive-dict.html#Compatibility">Compatibility:</a></th><td>Available if using OpenSSL 0.9.8h or later</td></tr>
2739 </table>
2740 <p>This option sets the maximum allowable time skew when mod_ssl checks the
2741 <code>thisUpdate</code> and <code>nextUpdate</code> fields of OCSP responses
2742 which get included in the TLS handshake (OCSP stapling). Only applicable
2743 if <code class="directive"><a href="#sslusestapling">SSLUseStapling</a></code> is turned on.</p>
2744
2745 </div>
2746 <div class="top"><a href="#page-header"><img alt="top" src="../images/up.gif" /></a></div>
2747 <div class="directive-section"><h2><a name="SSLStaplingReturnResponderErrors" id="SSLStaplingReturnResponderErrors">SSLStaplingReturnResponderErrors</a> <a name="sslstaplingreturnrespondererrors" id="sslstaplingreturnrespondererrors">Directive</a></h2>
2748 <table class="directive">
2749 <tr><th><a href="directive-dict.html#Description">Description:</a></th><td>Pass stapling related OCSP errors on to client</td></tr>
2750 <tr><th><a href="directive-dict.html#Syntax">Syntax:</a></th><td><code>SSLStaplingReturnResponderErrors on|off</code></td></tr>
2751 <tr><th><a href="directive-dict.html#Default">Default:</a></th><td><code>SSLStaplingReturnResponderErrors on</code></td></tr>
2752 <tr><th><a href="directive-dict.html#Context">Context:</a></th><td>server config, virtual host</td></tr>
2753 <tr><th><a href="directive-dict.html#Status">Status:</a></th><td>Extension</td></tr>
2754 <tr><th><a href="directive-dict.html#Module">Module:</a></th><td>mod_ssl</td></tr>
2755 <tr><th><a href="directive-dict.html#Compatibility">Compatibility:</a></th><td>Available if using OpenSSL 0.9.8h or later</td></tr>
2756 </table>
2757 <p>When enabled, mod_ssl will pass responses from unsuccessful
2758 stapling related OCSP queries (such as responses with an overall status
2759 other than "successful", responses with a certificate status other than
2760 "good", expired responses etc.) on to the client.
2761 If set to <code>off</code>, only responses indicating a certificate status
2762 of "good" will be included in the TLS handshake.</p>
2763
2764 </div>
2765 <div class="top"><a href="#page-header"><img alt="top" src="../images/up.gif" /></a></div>
2766 <div class="directive-section"><h2><a name="SSLStaplingStandardCacheTimeout" id="SSLStaplingStandardCacheTimeout">SSLStaplingStandardCacheTimeout</a> <a name="sslstaplingstandardcachetimeout" id="sslstaplingstandardcachetimeout">Directive</a></h2>
2767 <table class="directive">
2768 <tr><th><a href="directive-dict.html#Description">Description:</a></th><td>Number of seconds before expiring responses in the OCSP stapling cache</td></tr>
2769 <tr><th><a href="directive-dict.html#Syntax">Syntax:</a></th><td><code>SSLStaplingStandardCacheTimeout <em>seconds</em></code></td></tr>
2770 <tr><th><a href="directive-dict.html#Default">Default:</a></th><td><code>SSLStaplingStandardCacheTimeout 3600</code></td></tr>
2771 <tr><th><a href="directive-dict.html#Context">Context:</a></th><td>server config, virtual host</td></tr>
2772 <tr><th><a href="directive-dict.html#Status">Status:</a></th><td>Extension</td></tr>
2773 <tr><th><a href="directive-dict.html#Module">Module:</a></th><td>mod_ssl</td></tr>
2774 <tr><th><a href="directive-dict.html#Compatibility">Compatibility:</a></th><td>Available if using OpenSSL 0.9.8h or later</td></tr>
2775 </table>
2776 <p>Sets the timeout in seconds before responses in the OCSP stapling cache
2777 (configured through <code class="directive"><a href="#sslstaplingcache">SSLStaplingCache</a></code>)
2778 will expire. This directive applies to <em>valid</em> responses, while
2779 <code class="directive"><a href="#sslstaplingerrorcachetimeout">SSLStaplingErrorCacheTimeout</a></code> is
2780 used for controlling the timeout for invalid/unavailable responses.
2781 </p>
2782
2783 </div>
2784 <div class="top"><a href="#page-header"><img alt="top" src="../images/up.gif" /></a></div>
2785 <div class="directive-section"><h2><a name="SSLStrictSNIVHostCheck" id="SSLStrictSNIVHostCheck">SSLStrictSNIVHostCheck</a> <a name="sslstrictsnivhostcheck" id="sslstrictsnivhostcheck">Directive</a></h2>
2786 <table class="directive">
2787 <tr><th><a href="directive-dict.html#Description">Description:</a></th><td>Whether to allow non-SNI clients to access a name-based virtual
2788 host.
2789 </td></tr>
2790 <tr><th><a href="directive-dict.html#Syntax">Syntax:</a></th><td><code>SSLStrictSNIVHostCheck on|off</code></td></tr>
2791 <tr><th><a href="directive-dict.html#Default">Default:</a></th><td><code>SSLStrictSNIVHostCheck off</code></td></tr>
2792 <tr><th><a href="directive-dict.html#Context">Context:</a></th><td>server config, virtual host</td></tr>
2793 <tr><th><a href="directive-dict.html#Status">Status:</a></th><td>Extension</td></tr>
2794 <tr><th><a href="directive-dict.html#Module">Module:</a></th><td>mod_ssl</td></tr>
2795 </table>
2796 <p>
2797 This directive sets whether a non-SNI client is allowed to access a name-based
2798 virtual host. If set to <code>on</code> in the default name-based virtual
2799 host, clients that are SNI unaware will not be allowed to access <em>any</em>
2800 virtual host, belonging to this particular IP / port combination.
2801 If set to <code>on</code> in any other virtual host, SNI unaware clients
2802 are not allowed to access this particular virtual host.
2803 </p>
2804
2805 <div class="warning"><p>
2806 This option is only available if httpd was compiled against an SNI capable
2807 version of OpenSSL.
2808 </p></div>
2809
2810 <div class="example"><h3>Example</h3><pre class="prettyprint lang-config">SSLStrictSNIVHostCheck on</pre>
2811 </div>
2812
2813 </div>
2814 <div class="top"><a href="#page-header"><img alt="top" src="../images/up.gif" /></a></div>
2815 <div class="directive-section"><h2><a name="SSLUserName" id="SSLUserName">SSLUserName</a> <a name="sslusername" id="sslusername">Directive</a></h2>
2816 <table class="directive">
2817 <tr><th><a href="directive-dict.html#Description">Description:</a></th><td>Variable name to determine user name</td></tr>
2818 <tr><th><a href="directive-dict.html#Syntax">Syntax:</a></th><td><code>SSLUserName <em>varname</em></code></td></tr>
2819 <tr><th><a href="directive-dict.html#Context">Context:</a></th><td>server config, directory, .htaccess</td></tr>
2820 <tr><th><a href="directive-dict.html#Override">Override:</a></th><td>AuthConfig</td></tr>
2821 <tr><th><a href="directive-dict.html#Status">Status:</a></th><td>Extension</td></tr>
2822 <tr><th><a href="directive-dict.html#Module">Module:</a></th><td>mod_ssl</td></tr>
2823 </table>
2824 <p>
2825 This directive sets the "user" field in the Apache request object.
2826 This is used by lower modules to identify the user with a character
2827 string. In particular, this may cause the environment variable
2828 <code>REMOTE_USER</code> to be set.  The <em>varname</em> can be
2829 any of the <a href="#envvars">SSL environment variables</a>.</p>
2830
2831 <p>When the <code>FakeBasicAuth</code> option is enabled, this directive
2832 instead controls the value of the username embedded within the basic
2833 authentication header (see <a href="#ssloptions">SSLOptions</a>).</p>
2834
2835 <div class="example"><h3>Example</h3><pre class="prettyprint lang-config">SSLUserName SSL_CLIENT_S_DN_CN</pre>
2836 </div>
2837
2838 </div>
2839 <div class="top"><a href="#page-header"><img alt="top" src="../images/up.gif" /></a></div>
2840 <div class="directive-section"><h2><a name="SSLUseStapling" id="SSLUseStapling">SSLUseStapling</a> <a name="sslusestapling" id="sslusestapling">Directive</a></h2>
2841 <table class="directive">
2842 <tr><th><a href="directive-dict.html#Description">Description:</a></th><td>Enable stapling of OCSP responses in the TLS handshake</td></tr>
2843 <tr><th><a href="directive-dict.html#Syntax">Syntax:</a></th><td><code>SSLUseStapling on|off</code></td></tr>
2844 <tr><th><a href="directive-dict.html#Default">Default:</a></th><td><code>SSLUseStapling off</code></td></tr>
2845 <tr><th><a href="directive-dict.html#Context">Context:</a></th><td>server config, virtual host</td></tr>
2846 <tr><th><a href="directive-dict.html#Status">Status:</a></th><td>Extension</td></tr>
2847 <tr><th><a href="directive-dict.html#Module">Module:</a></th><td>mod_ssl</td></tr>
2848 <tr><th><a href="directive-dict.html#Compatibility">Compatibility:</a></th><td>Available if using OpenSSL 0.9.8h or later</td></tr>
2849 </table>
2850 <p>This option enables OCSP stapling, as defined by the "Certificate
2851 Status Request" TLS extension specified in RFC 6066. If enabled (and
2852 requested by the client), mod_ssl will include an OCSP response
2853 for its own certificate in the TLS handshake. Configuring an
2854 <code class="directive"><a href="#sslstaplingcache">SSLStaplingCache</a></code> is a
2855 prerequisite for enabling OCSP stapling.</p>
2856
2857 <p>OCSP stapling relieves the client of querying the OCSP responder
2858 on its own, but it should be noted that with the RFC 6066 specification,
2859 the server's <code>CertificateStatus</code> reply may only include an
2860 OCSP response for a single cert. For server certificates with intermediate
2861 CA certificates in their chain (the typical case nowadays),
2862 stapling in its current implementation therefore only partially achieves the
2863 stated goal of "saving roundtrips and resources" - see also
2864 <a href="http://www.ietf.org/rfc/rfc6961.txt">RFC 6961</a>
2865 (TLS Multiple Certificate Status Extension).
2866 </p>
2867
2868 <p>When OCSP stapling is enabled, the <code>ssl-stapling</code> mutex is used
2869 to control access to the OCSP stapling cache in order to prevent corruption,
2870 and the <code>sss-stapling-refresh</code> mutex is used to control refreshes
2871 of OCSP responses.  These mutexes can be configured using the
2872 <code class="directive"><a href="../mod/core.html#mutex">Mutex</a></code> directive.
2873 </p>
2874
2875
2876 </div>
2877 <div class="top"><a href="#page-header"><img alt="top" src="../images/up.gif" /></a></div>
2878 <div class="directive-section"><h2><a name="SSLVerifyClient" id="SSLVerifyClient">SSLVerifyClient</a> <a name="sslverifyclient" id="sslverifyclient">Directive</a></h2>
2879 <table class="directive">
2880 <tr><th><a href="directive-dict.html#Description">Description:</a></th><td>Type of Client Certificate verification</td></tr>
2881 <tr><th><a href="directive-dict.html#Syntax">Syntax:</a></th><td><code>SSLVerifyClient <em>level</em></code></td></tr>
2882 <tr><th><a href="directive-dict.html#Default">Default:</a></th><td><code>SSLVerifyClient none</code></td></tr>
2883 <tr><th><a href="directive-dict.html#Context">Context:</a></th><td>server config, virtual host, directory, .htaccess</td></tr>
2884 <tr><th><a href="directive-dict.html#Override">Override:</a></th><td>AuthConfig</td></tr>
2885 <tr><th><a href="directive-dict.html#Status">Status:</a></th><td>Extension</td></tr>
2886 <tr><th><a href="directive-dict.html#Module">Module:</a></th><td>mod_ssl</td></tr>
2887 </table>
2888 <p>
2889 This directive sets the Certificate verification level for the Client
2890 Authentication. Notice that this directive can be used both in per-server and
2891 per-directory context. In per-server context it applies to the client
2892 authentication process used in the standard SSL handshake when a connection is
2893 established. In per-directory context it forces a SSL renegotiation with the
2894 reconfigured client verification level after the HTTP request was read but
2895 before the HTTP response is sent.</p>
2896 <p>
2897 The following levels are available for <em>level</em>:</p>
2898 <ul>
2899 <li><strong>none</strong>:
2900      no client Certificate is required at all</li>
2901 <li><strong>optional</strong>:
2902      the client <em>may</em> present a valid Certificate</li>
2903 <li><strong>require</strong>:
2904      the client <em>has to</em> present a valid Certificate</li>
2905 <li><strong>optional_no_ca</strong>:
2906      the client may present a valid Certificate<br />
2907      but it need not to be (successfully) verifiable. This option
2908      cannot be relied upon for client authentication.  </li>
2909 </ul>
2910 <div class="example"><h3>Example</h3><pre class="prettyprint lang-config">SSLVerifyClient require</pre>
2911 </div>
2912
2913 </div>
2914 <div class="top"><a href="#page-header"><img alt="top" src="../images/up.gif" /></a></div>
2915 <div class="directive-section"><h2><a name="SSLVerifyDepth" id="SSLVerifyDepth">SSLVerifyDepth</a> <a name="sslverifydepth" id="sslverifydepth">Directive</a></h2>
2916 <table class="directive">
2917 <tr><th><a href="directive-dict.html#Description">Description:</a></th><td>Maximum depth of CA Certificates in Client
2918 Certificate verification</td></tr>
2919 <tr><th><a href="directive-dict.html#Syntax">Syntax:</a></th><td><code>SSLVerifyDepth <em>number</em></code></td></tr>
2920 <tr><th><a href="directive-dict.html#Default">Default:</a></th><td><code>SSLVerifyDepth 1</code></td></tr>
2921 <tr><th><a href="directive-dict.html#Context">Context:</a></th><td>server config, virtual host, directory, .htaccess</td></tr>
2922 <tr><th><a href="directive-dict.html#Override">Override:</a></th><td>AuthConfig</td></tr>
2923 <tr><th><a href="directive-dict.html#Status">Status:</a></th><td>Extension</td></tr>
2924 <tr><th><a href="directive-dict.html#Module">Module:</a></th><td>mod_ssl</td></tr>
2925 </table>
2926 <p>
2927 This directive sets how deeply mod_ssl should verify before deciding that the
2928 clients don't have a valid certificate. Notice that this directive can be
2929 used both in per-server and per-directory context. In per-server context it
2930 applies to the client authentication process used in the standard SSL
2931 handshake when a connection is established. In per-directory context it forces
2932 a SSL renegotiation with the reconfigured client verification depth after the
2933 HTTP request was read but before the HTTP response is sent.</p>
2934 <p>
2935 The depth actually is the maximum number of intermediate certificate issuers,
2936 i.e. the number of CA certificates which are max allowed to be followed while
2937 verifying the client certificate. A depth of 0 means that self-signed client
2938 certificates are accepted only, the default depth of 1 means the client
2939 certificate can be self-signed or has to be signed by a CA which is directly
2940 known to the server (i.e. the CA's certificate is under
2941 <code class="directive"><a href="#sslcacertificatepath">SSLCACertificatePath</a></code>), etc.</p>
2942 <div class="example"><h3>Example</h3><pre class="prettyprint lang-config">SSLVerifyDepth 10</pre>
2943 </div>
2944
2945 </div>
2946 </div>
2947 <div class="bottomlang">
2948 <p><span>Available Languages: </span><a href="../en/mod/mod_ssl.html" title="English">&nbsp;en&nbsp;</a> |
2949 <a href="../es/mod/mod_ssl.html" hreflang="es" rel="alternate" title="Español">&nbsp;es&nbsp;</a> |
2950 <a href="../fr/mod/mod_ssl.html" hreflang="fr" rel="alternate" title="Français">&nbsp;fr&nbsp;</a></p>
2951 </div><div class="top"><a href="#page-header"><img src="../images/up.gif" alt="top" /></a></div><div class="section"><h2><a id="comments_section" name="comments_section">Comments</a></h2><div class="warning"><strong>Notice:</strong><br />This is not a Q&amp;A section. Comments placed here should be pointed towards suggestions on improving the documentation or server, and may be removed again by our moderators if they are either implemented or considered invalid/off-topic. Questions on how to manage the Apache HTTP Server should be directed at either our IRC channel, #httpd, on Freenode, or sent to our <a href="http://httpd.apache.org/lists.html">mailing lists</a>.</div>
2952 <script type="text/javascript"><!--//--><![CDATA[//><!--
2953 var comments_shortname = 'httpd';
2954 var comments_identifier = 'http://httpd.apache.org/docs/trunk/mod/mod_ssl.html';
2955 (function(w, d) {
2956     if (w.location.hostname.toLowerCase() == "httpd.apache.org") {
2957         d.write('<div id="comments_thread"><\/div>');
2958         var s = d.createElement('script');
2959         s.type = 'text/javascript';
2960         s.async = true;
2961         s.src = 'https://comments.apache.org/show_comments.lua?site=' + comments_shortname + '&page=' + comments_identifier;
2962         (d.getElementsByTagName('head')[0] || d.getElementsByTagName('body')[0]).appendChild(s);
2963     }
2964     else {
2965         d.write('<div id="comments_thread">Comments are disabled for this page at the moment.<\/div>');
2966     }
2967 })(window, document);
2968 //--><!]]></script></div><div id="footer">
2969 <p class="apache">Copyright 2018 The Apache Software Foundation.<br />Licensed under the <a href="http://www.apache.org/licenses/LICENSE-2.0">Apache License, Version 2.0</a>.</p>
2970 <p class="menu"><a href="../mod/">Modules</a> | <a href="../mod/quickreference.html">Directives</a> | <a href="http://wiki.apache.org/httpd/FAQ">FAQ</a> | <a href="../glossary.html">Glossary</a> | <a href="../sitemap.html">Sitemap</a></p></div><script type="text/javascript"><!--//--><![CDATA[//><!--
2971 if (typeof(prettyPrint) !== 'undefined') {
2972     prettyPrint();
2973 }
2974 //--><!]]></script>
2975 </body></html>