Liste de révocation de certificats (CRL)

Une CRL est un document signé par la CA qui contient les numéros de série et les dates de révocation des certificats qui ne doivent plus être considérés comme dignes de confiance, généralement parce que la clé privée a été compromise, que le titulaire a changé ou qu'il y a eu émission abusive. Les parties relyantes (navigateurs, clients TLS) téléchargent la CRL à l'emplacement indiqué dans l'extension CRLDistributionPoints et rejettent tout certificat dont le numéro de série y figure. Les CRLs fonctionnent hors-ligne une fois mises en cache mais peuvent devenir volumineuses et n'être à jour qu'au bout de plusieurs heures ; c'est pourquoi OCSP, l'OCSP stapling, les certificats à courte durée et les listes compressées de type CRLite sont de plus en plus utilisés.