OCSP
Protokół sprawdzania w czasie rzeczywistym, czy certyfikat TLS został unieważniony. RFC 6960. Przeglądarka pyta responder OCSP urzędu certyfikacji („czy ten certyfikat jest nadal ważny?”). Wolny i naruszający prywatność.
Pierwotny OCSP: klient pyta CA za każdym razem, więc CA widzi każdą odwiedzaną stronę. OCSP stapling (RFC 6066) to naprawia: serwer sam pobiera odpowiedź OCSP i dołącza ją do uzgadniania TLS, więc można ją buforować. Flaga must-staple wymusza stapling. Let’s Encrypt i Cloudflare ogłosiły w 2024 roku wygaszanie OCSP (za wolny, problem prywatności). Obecny trend: CRLite (Mozilla) i krótko żyjące certyfikaty (90 dni w Let’s Encrypt, planowane 7) sprawiają, że unieważnianie jest mniej potrzebne.