OCSP Online Certificate Status Protocol
Protocole de vérification en temps réel de la révocation d'un certificat TLS. RFC 6960. Le navigateur interroge le répondeur OCSP de l'autorité de certification (« ce certificat est-il toujours valide ? »). Lent, et une fuite de vie privée.
OCSP à l'origine : le client interroge l'autorité à chaque fois → l'autorité voit tous les sites que vous visitez. L'OCSP stapling (RFC 6066) règle le problème : le serveur récupère lui-même la réponse OCSP et l'agrafe à la poignée de main TLS → elle peut être mise en cache. Le drapeau Must-staple impose l'agrafage. Let's Encrypt et Cloudflare ont annoncé en 2024 abandonner progressivement OCSP (trop lent, trop indiscret). Tendance actuelle : CRLite (Mozilla) et les certificats à courte durée (90 jours chez Let's Encrypt, 7 jours prévus) rendent la révocation moins nécessaire.