OCSP vs CRL
Avant OCSP, on utilisait les CRL (Certificate Revocation Lists) — listes téléchargées périodiquement. Problème : pas en temps réel, fichiers volumineux. OCSP interroge le serveur en temps réel, réponse en quelques ms.
Pourquoi c'est important
Un certificat peut être révoqué (perte clé privée, démission signataire, etc.). Si on signe un document avec un certificat révoqué, la signature n'a aucune valeur. OCSP permet de vérifier instantanément avant et après la signature.
OCSP Stapling
Pour éviter de surcharger le serveur OCSP, le mécanisme OCSP Stapling permet au serveur d'attacher (staple) la réponse OCSP signée au certificat — réduit la latence et améliore la confidentialité.