OCSP (протокол проверки статуса сертификата в режиме онлайн)

OCSP (Online Certificate Status Protocol, RFC 6960) — протокол проверки в реальном времени статуса отзыва электронного сертификата путем запроса к OCSP-респондеру, управляемому центром сертификации. Почему отзыв важен: сертификат может быть действительным по дате, но заранее отозван (компрометация ключа, увольнение сотрудника); подпись или TLS-соединение должны проверить статус, а не только срок действия. OCSP vs CRL: OCSP — это более легкая и быстрая альтернатива CRL — вместо загрузки всего списка отозванных сертификатов клиент запрашивает статус одного сертификата и получает подписанный лаконичный ответ (действителен / отозван / неизвестно). OCSP Stapling: чтобы избежать утечки конфиденциальности и дополнительного сетевого обращения, сервер получает собственный ответ OCSP и «скрепляет» его в TLS handshake, поэтому браузер никогда не обращается напрямую к AC. В подписанных документах: OCSP-ответы интегрируются в PDF при подписании для долгосрочной проверки (LTV), чтобы подпись оставалась проверяемой спустя годы даже если респондер недоступен.