Das Online Certificate Status Protocol (OCSP) ist ein Protokoll zur Online-Abfrage des Widerrufsstatus eines X.509-Zertifikats. Statt eine ganze CRL herunterzuladen, fragt der Client einen OCSP-Responder gezielt nach einer einzelnen Seriennummer und erhält eine signierte Antwort: "good", "revoked" oder "unknown".
Die Adresse des Responders steht in der Authority Information Access-Erweiterung des Zertifikats. In der TLS-Welt wird OCSP häufig in Kombination mit OCSP Stapling eingesetzt: Der Server holt die OCSP-Antwort selbst regelmäßig und liefert sie im TLS-Handshake mit – das spart Round Trips und schützt die Privatsphäre des Clients.
Einsatzzweck ist eine zeitnahe Statusprüfung mit deutlich geringerem Datenvolumen als bei CRLs. Insbesondere für Browser, die täglich Millionen Zertifikate prüfen, ist OCSP effizienter, ermöglicht es aber – ohne Stapling – einer CA, das Surfverhalten der Nutzer zu beobachten.
OCSP wurde in RFC 2560 (1999) standardisiert und in RFC 6960 (2013) modernisiert. Es ist eng mit dem PKIX-Profil der IETF verbunden und gehört seit Jahren zur Standardausstattung öffentlicher CAs.
In der Browser-Welt hat OCSP eine durchwachsene Geschichte: Apple, Mozilla und Microsoft haben es lange als Soft-Fail eingesetzt, was bei Ausfällen des Responders zu "silent"-Fehlern führte. Apple kündigte 2023 an, OCSP für eigene Zertifikate weitgehend abzuschalten.