OCSP（線上證書狀態協議）

OCSP（線上證書狀態協議，RFC 6960）是實時驗證電子證書撤銷狀態的協議，透過查詢由認證機構運營的 OCSP 響應器進行。為什麼撤銷很重要：證書可能在日期上有效但被提前撤銷（密鑰洩露、員工離職）；簽名或 TLS 連線必須驗證狀態，而不僅僅是過期日期。OCSP 與 CRL：OCSP 是CRL 的更輕量級和反應更快的替代方案 — 客戶端查詢單個證書並接收簡潔的已簽名響應（有效／已撤銷／未知），而不是下載整個撤銷列表。OCSP 裝訂：為避免隱私洩露和額外的往返，伺服器檢索自身的 OCSP 響應並將其「裝訂」到TLS 握手中，因此瀏覽器永遠不會直接接觸 CA。在簽署文件中：OCSP 響應在簽署時整合到 PDF 中用於長期驗證 (LTV)，以便即使響應器離線簽名在多年後仍可驗證。