Produits / Storax OCSP Server
Internet n’a jamais su répondre à la question qui le protège — « ce certificat est-il encore valide, là, maintenant ? » — pour tout le monde, en même temps. Signer une réponse fraîche des milliards de fois par heure n’a jamais été abordable ; le statut en temps réel est donc resté une promesse que le web a contournée. Storax OCSP rend le statut de certificat en direct, par requête, praticable — à l’échelle d’Internet, et post-quantique dès le premier jour.
Le fossé du statut
OCSP a été conçu pour demander à une autorité de certification « ce certificat a-t-il été révoqué depuis son émission ? » en temps réel. Mais signer une réponse fraîche et digne de confiance pour chaque requête, à l’échelle d’Internet, n’a jamais été abordable sur CPU et HSM — il n’a donc jamais été réellement déployé à grande échelle. Les navigateurs l’ont assoupli, puis abandonné ; le web s’est rabattu sur le stapling, des certificats toujours plus courts, des listes de blocage vieilles d’un jour — et l’échec ouvert. Un certificat compromis et révoqué peut garder son cadenas pendant des jours.
Possible. Et abordable.
Un seul GPU signe bien plus d’un million de réponses OCSP fraîches par seconde — des centaines de milliers sur un trousseau mixte du monde réel. Et la capacité évolue linéairement : chaque GPU et chaque serveur derrière vos répartiteurs de charge ajoute son plein débit, sans plafond architectural. Le statut de certificat en direct cesse d’être un problème de recherche pour devenir une ligne de budget.
Chiffres par GPU ; le débit et la capacité évoluent linéairement avec les GPU et serveurs supplémentaires.
L’hyperéchelle par conception
Le débit est indépendant du nombre de domaines que vous servez — la capacité n’est bornée que par la mémoire, et les clés sont une erreur d’arrondi : un serveur garde les clés de millions de domaines résidentes à la fois. Le volume servi évolue ensuite linéairement à travers la flotte : ajoutez des GPU, des frontaux 10 gigabits, des serveurs derrière vos répartiteurs de charge, et la capacité croît en proportion.
La clé de signature déléguée de chaque émetteur réside sur le GPU. Le débit se moque de savoir s’il s’agit de dix domaines ou de dix millions.
Le débit croît en proportion directe — ajoutez un GPU, ajoutez un serveur derrière le répartiteur de charge, et la flotte en fait davantage. Pas de goulot architectural, pas de rendements décroissants.
Assurance
Ce n’est pas un service classique avec une mise à niveau quantique prévue plus tard — le post-quantique est natif dès le départ. Classique et PQC dans un seul moteur — ECDSA, RSA, Ed25519, ML-DSA et Falcon, chaque signature exacte à l’octet près face aux normes — pour que, dès que vos CA migrent vers le post-quantique, la révocation en direct soit déjà là, à l’échelle. La signature post-quantique est réputée lourde — signatures plus grandes, plus de calcul, la raison même pour laquelle beaucoup craignent que la migration casse les services à fort volume. Pas sur notre machine. Les clés déléguées sont enveloppées par HSM et résidentes sur GPU ; les racines de la CA ne bougent jamais. Et c’est conçu selon FIPS 140-3 — chaque déploiement choisit sa posture :
Un débit maximal pour l’Internet de tous les jours — le défaut qui rend le statut en direct abordable.
Une signature résistante aux canaux auxiliaires pour les déploiements réglementés et de haute sécurité, à un commutateur près.
L’histoire des hyperscalers
Les hyperscalers terminent l’essentiel du TLS mondial et exploitent des parcs de certificats qui se comptent en centaines de millions. Quand un certificat est compromis, « révoqué » doit vouloir dire quelque chose en secondes — pas en jours passés à attendre une liste périmée. Et ce sont eux qui mènent la migration post-quantique. Cette combinaison — volume à l’échelle d’Internet, fraîcheur en temps réel et post-quantique — est exactement la charge qu’OCSP n’a jamais pu porter. Storax OCSP la porte : un statut de certificat en direct et post-quantique sur tout le parc, évoluant linéairement avec la flotte qu’ils exploitent déjà.
Chaque domaine, équipement et charge de travail derrière leur edge — maintenu interrogeable en temps réel, croissant linéairement avec la flotte, sans la combattre.
Un certificat compromis cesse d’être approuvé à l’instant où il est révoqué — pas après l’envoi de la prochaine liste vieille d’un jour. La confiance en temps réel, à leur échelle.
La migration post-quantique commence à l’edge qu’ils exploitent. Storax OCSP est post-quantique dès le premier jour — la révocation est prête avant les certificats.
La révocation n’a pas à être une liste périmée et un espoir. Storax OCSP rend le statut de certificat en direct, signé, par requête, assez abordable pour tourner partout.
Demander une démo