証明書失効リスト(CRL).

CRL は、秘密鍵の漏えい、所有者の変更、誤発行などの理由で信頼すべきでなくなった証明書のシリアル番号と失効日を列挙し、CA が署名した文書です。依存当事者(ブラウザや TLS クライアント)は証明書の CRLDistributionPoints 拡張で示された場所から CRL をダウンロードし、シリアル番号が含まれている証明書を拒否します。一度キャッシュすればオフラインでも利用できますが、サイズが大きくなりやすく、最新性に欠ける場合があるため、現代の運用では OCSP、OCSP ステープリング、短命証明書、CRLite のような圧縮形式が選ばれる傾向にあります。