OCSP 吊销查询

证书没到期也可能已经作废——私钥泄露、域名转手、签错了，CA 都会把它吊销。这页先握手取回证书和签发它的中间证书，按 RFC 6960 拼一份 OCSP 请求（签发者名称哈希 + 签发者公钥哈希 + 序列号），发给证书里写的 OCSP 服务器，把结果如实解出来。

OCSP 正在被淘汰

OCSP 查询会把「谁在访问哪个网站」暴露给 CA，是个长期被诟病的隐私问题。CA/浏览器论坛 2024 年通过的决议让 OCSP 从必选变为可选，Let's Encrypt 已于 2025 年停止提供 OCSP 服务，只保留 CRL。所以查新证书时经常会看到「证书里没有 OCSP 地址」——这不是配置错误。

查不到不等于没被吊销

OCSP 服务器限流、返回 tryLater、网络不通，都会让查询失败。浏览器碰到这种情况普遍采取「软失败」：查不到就放行。真正可靠的吊销拦截靠的是 CRLSets（Chrome）、OneCRL（Firefox）这类由浏览器厂商直接下发的吊销名单。

OCSP 装订（stapling）是更好的做法

服务器自己定期去 CA 取一份带签名的 OCSP 响应，在握手时直接发给客户端，客户端就不必再单独连 CA。nginx 里是 ssl_stapling on; ssl_stapling_verify on;。本页查的是直连 CA 的结果，不代表服务器有没有开装订。

吊销之后原来的证书还能不能用

文件还在、还能加载，浏览器该报错的会报错，不检查吊销的客户端则照常放行。所以私钥泄露时只吊销是不够的，必须同时换新证书、换新私钥。

这页是怎么问的

OCSP 的请求体是一段 DER：用 SHA-1 分别哈希签发者的 Name 与公钥，加上证书序列号组成 CertID，POST 到 AIA 里写的地址。本页没有校验响应上的签名，只解析内容——结果要作为安全判断依据时请以客户端自身的校验为准。

相关工具

SSL 证书检测、证书链下载、证书透明度查询、证书信息查看。