Comment fonctionne une CRL
L'AC publie sa CRL signée à une URL fixe (par ex. http://crl.universign.com/...). Les logiciels de vérification téléchargent périodiquement la CRL et vérifient si le certificat à valider y figure.
CRL vs OCSP
La CRL est une approche batch : on télécharge la liste complète, on cherche dedans. OCSP est en temps réel : on interroge directement le serveur. OCSP est préféré aujourd'hui pour la rapidité, mais CRL reste utile pour les workflows offline ou les caches.
CRL distribution points
Le certificat lui-même contient l'URL de la CRL à interroger (champ « CRL Distribution Points »). Le validateur sait donc où trouver la liste de révocation pour ce certificat précis.