OCSP
Protocolo para verificar em tempo real se um certificado TLS foi revogado. RFC 6960. O navegador pergunta ao respondedor OCSP da CA ("este certificado ainda é válido?"). Lento e com vazamento de privacidade.
No OCSP original, o cliente pergunta à CA toda vez → a CA vê todos os sites que você visita. O OCSP stapling (RFC 6066) resolve isso: o próprio servidor busca a resposta OCSP e a anexa ao handshake TLS → pode ser guardada em cache. A flag must-staple obriga o uso do stapling. Em 2024, Let's Encrypt e Cloudflare anunciaram que estão abandonando o OCSP (lento demais, problema de privacidade). A tendência moderna: o CRLite (Mozilla) e os certificados de vida curta (dos 90 dias do Let's Encrypt para 7 dias, como planejado) tornam a revogação menos necessária.