OCSP (Online Certificate Status Protocol)

OCSP (Online Certificate Status Protocol, RFC 6960) è un protocollo di verifica in tempo reale dello stato di revoca di un certificato elettronico, tramite interrogazione di un risponditore OCSP gestito dall''autorità di certificazione. Perché la revoca conta: un certificato può essere valido per data ma revocato anticipatamente (compromissione della chiave, partenza di un dipendente); una firma o una connessione TLS deve quindi verificare lo stato, non solo la scadenza. OCSP rispetto a CRL: OCSP è un''alternativa più leggera e reattiva a una CRL — invece di scaricare l''intera lista di revoca, il client interroga un singolo certificato e riceve una risposta firmata concisa (valido / revocato / sconosciuto). OCSP Stapling: per evitare una fuga di riservatezza e un ulteriore andata-ritorno, il server recupera la propria risposta OCSP e la « incolla » nell''handshake TLS, cosicché il browser non contatti mai direttamente l''AC. Nei documenti firmati: le risposte OCSP sono integrate nel PDF al momento della firma per la validazione a lungo termine (LTV), affinché la firma rimanga verificabile anni dopo anche se il risponditore è offline.