ssl - 浏览器多久会自动重置 SSL 缓存？

Question

我们经营一个电子商务网站。上周我们更新了 SSL 证书，我们的网络托管服务提供商莫名其妙地在新证书上输入了错误的网址。

因此，当我们访问该网站时，浏览器向我们提供了安全错误(并且可能是在那段时间内向任何客户提供的)。

修复 SSL 后，我们可以通过清除浏览器缓存或使用其他浏览器来访问该站点。

我的问题是:浏览器是否会在一段时间后为我们的客户自动重置缓存？

我担心的是，除非客户手动清除浏览器缓存，否则他们会继续认为我们的网站不安全。

Answer 1

不存在用于失败尝试的 SSL 缓存之类的东西。如果浏览器首先连接到使用 HTTPS 的站点，它将获取证书并对其进行验证。如果验证成功，浏览器可能会为重新连接缓存当前的 TLS session ——但前提是服务器为 TLS session 发送 session ID 或 session 票证。如果验证因此连接失败，则浏览器不会缓存任何内容。即使浏览器稍后尝试恢复 TLS session ，它也取决于服务器是否完全接受此恢复 - 否则将再次完成一次完整的握手，其中包括获取和验证证书。

虽然您没有这样描述它，但我宁愿怀疑存在错误的 HTTP 重定向，例如从 http://example.com 重定向到 https://wrong.example.org 而不是 https://www.example.com。鉴于您描述的问题，这可能是 301“永久”重定向，这意味着浏览器可以永远缓存此重定向。参见 How long do browsers cache HTTP 301s?有关更多信息。