OCSP
Protocollo per verificare in tempo reale se un certificato TLS è stato revocato. RFC 6960. Il browser interroga l'OCSP responder della CA («questo certificato è ancora valido?»). Lento e con un problema di privacy.
L'OCSP originale: il client interroga la CA a ogni visita, quindi la CA vede ogni sito che visiti. L'OCSP stapling (RFC 6066) risolve il problema: è il server a ottenere la risposta OCSP e ad allegarla all'handshake TLS, così può essere messa in cache. Il flag must-staple rende obbligatorio lo stapling. Nel 2024 Let's Encrypt e Cloudflare hanno annunciato il progressivo abbandono di OCSP (troppo lento, questioni di privacy). La tendenza attuale: CRLite (Mozilla) e i certificati di breve durata (i 90 giorni di Let's Encrypt, con 7 giorni previsti) rendono la revoca meno necessaria.