Lista de revogação de certificados (CRL)

Uma CRL é um documento assinado pela CA com os números de série e datas de revogação dos certificados que já não devem ser considerados de confiança, geralmente porque a chave privada foi comprometida, o titular mudou ou houve emissão indevida. As partes confiantes (navegadores e clientes TLS) descarregam a CRL do local indicado na extensão CRLDistributionPoints e rejeitam qualquer certificado cujo número de série figure na lista. As CRLs funcionam offline depois de armazenadas em cache, mas podem tornar-se grandes e ficar desactualizadas durante horas ou dias; por isso, OCSP com stapling, certificados de curta duração e listas comprimidas como CRLite são cada vez mais preferidos.