OCSP (Online Certificate Status Protocol)

OCSP, défini par le RFC 6960, remplace les CRLs volumineuses et lentement renouvelées par une requête en temps réel. Le client envoie une requête signée contenant le numéro de série du certificat au répondeur OCSP indiqué dans l'extension Authority Information Access. Le répondeur renvoie un statut signé (good, revoked, unknown), que la partie relyante accepte après validation de la signature. L'OCSP stapling permet au serveur TLS de récupérer et de mettre en cache lui-même la réponse, puis de la présenter pendant le handshake, ce qui supprime les problèmes de confidentialité et de performance liés aux requêtes des clients. Combiné avec must-staple, OCSP rend la révocation fiable et exécutable dans TLS.