Online Certificate Status Protocol
トラフィックを監視して、その後にそのトラフィックに応答する。
証明書の状態を監視して、それが変更されたことを確認する。
応答の妥当な時間内に証明書の状態を要求するトランザクションを実施する。
失効した証明書が有効になることは滅多にないので(停止されているだけならば可能性はある)、攻撃者は有効な応答を捉え、証明書が失効するのを待ち、それを使う必要がある。
OCSPは複数レベルのCAをサポートできる。OCSP要求をレスポンダ間で連鎖させ、発行元のCAがその証明書を発行するのに適切かどうかを調べることができる。レスポンダは自身のOCSP要求を使ってルートCAに対して相互の妥当性を保証する。
OCSPレスポンダは、Delegated Path Validation (DPV) サーバから失効情報を要求されることがある。OCSP自身は供給された証明書についてDPVを実行することはない。