OCSP(オンライン証明書ステータスプロトコル)

OCSP は RFC 6960 で定義され、サイズが大きく更新が遅い CRL に代えてリアルタイム問い合わせを行います。クライアントは証明書の Authority Information Access 拡張に記載された OCSP レスポンダへ、対象証明書のシリアル番号を含む署名付きリクエストを送ります。レスポンダは署名付きステータス(good・revoked・unknown)を返し、依存当事者は署名の検証後にその結果を信頼します。OCSP ステープリングを使うと、TLS サーバーが自分でレスポンスを取得・キャッシュし、ハンドシェイクで提示するため、クライアント側のプライバシーと性能の問題を解決できます。must-staple と組み合わせれば、TLS における失効確認を確実に強制できます。