在SSL（安全套接字层）或其后续版本TLS（传输层安全协议）中，OCSP即在线证书状态协议（Online Certificate Status Protocol），它像一个实时查询系统，用来快速确定一张数字证书在被访问时是否仍然有效。
OCSP是什么？为什么SSL证书需要OCSP状态检查
当浏览器访问HTTPS网站时，除了验证SSL证书是否有效之外，还需要确认这张证书是否已经被证书颁发机构（CA）吊销。
例如，当证书私钥泄露、证书被错误签发或证书存在安全风险时，CA可能会提前撤销该证书。此时，即使证书尚未到期，浏览器也不应该继续信任它。
OCSP（Online Certificate Status Protocol，在线证书状态协议）就是用于解决这一问题的标准机制。它允许浏览器实时向CA查询证书状态，从而判断当前SSL证书是否仍然可信。
简单来说：
HTTPS负责加密传输，而OCSP负责确认SSL证书是否依然有效。
OCSP出现之前，浏览器如何检查证书状态？
早期SSL证书主要依赖CRL（Certificate Revocation List，证书吊销列表）。
CA会定期发布一份包含所有已吊销证书的名单。
浏览器需要：
- 下载CRL文件
- 查找证书序列号
- 判断证书是否被吊销
这种方式存在明显缺点：
- CRL文件越来越大
- 下载耗时
- 更新不够及时
- 增加浏览器负担
因此行业逐渐转向更实时的OCSP机制。
OCSP的工作原理
每张SSL证书中都会包含一个OCSP服务器地址。
当浏览器访问网站时：
- 获取网站SSL证书
- 读取OCSP地址
- 向CA的OCSP服务器发送查询请求
- 获取证书状态结果
返回结果包括：
Good
证书有效，未被吊销。
Revoked
证书已被吊销。
浏览器通常会阻止访问。
Unknown
无法确认状态。
部分浏览器会继续访问，部分则会发出警告。
为什么有些HTTPS网站打开速度慢？
很多网站管理员并不知道 HTTPS连接建立过程中，浏览器可能需要额外访问CA的OCSP服务器。
如果OCSP服务器位于海外，或者网络连接不稳定，就可能增加握手时间。
用户感受到的现象包括：
- 网站首开速度变慢
- HTTPS握手时间增加
- 海外证书国内访问延迟较高
这也是为什么越来越多网站开始启用OCSP Stapling。
什么是OCSP Stapling（OCSP装订）？
OCSP Stapling可以理解为：服务器提前帮浏览器完成OCSP查询。
传统模式：浏览器 → CA服务器
查询证书状态。
OCSP Stapling模式：服务器 → CA服务器
提前获取OCSP结果。
浏览器访问网站时：服务器直接把最新OCSP响应一起发送给浏览器。
浏览器无需再次访问CA。
因此又被称为：OCSP装订。
OCSP Stapling有什么优势？
提升网站访问速度
减少一次额外网络请求。降低HTTPS握手时间。
提高稳定性
即使CA的OCSP服务器暂时不可用，浏览器仍然能够验证证书状态。
增强用户隐私
浏览器无需直接访问CA服务器。CA无法获知用户正在访问哪个网站。
改善跨境访问体验
对于使用国际SSL证书的网站效果尤其明显。
国内OCSP服务有什么优势？
对于面向中国大陆用户的网站来说，OCSP服务器位置会直接影响查询速度。
国内OCSP服务通常具备：
- 更低访问延迟
- 更高网络稳定性
- 更好的本地化支持
- 更符合国产化与合规要求
因此越来越多国产SSL证书品牌开始部署国内OCSP节点。
网站管理员是否应该开启OCSP Stapling？
如果网站已经部署HTTPS，建议开启。
目前：
- Nginx支持
- Apache支持
- IIS支持
- CDN平台普遍支持
开启后通常能够获得更好的HTTPS性能表现。
尤其是电商平台、企业官网、会员系统以及高并发业务网站，更值得启用。
相关阅读
如果您正在部署HTTPS网站，建议同时了解：
这些内容有助于更全面地理解SSL证书的工作原理及HTTPS安全体系。
常见问题
OCSP和CRL有什么区别？
CRL需要下载完整吊销列表，而OCSP只查询单张证书状态，因此更加实时和高效。
OCSP失败会导致网站打不开吗？
部分浏览器会忽略查询失败继续访问，部分安全策略较严格的环境可能会阻止访问。
OCSP Stapling会影响SEO吗？
不会直接影响排名，但能够减少HTTPS握手延迟，有助于改善页面加载体验。
免费SSL证书支持OCSP吗？
支持。主流免费SSL证书和商业SSL证书通常都支持OCSP验证机制。
开启OCSP Stapling后还需要OCSP吗？
需要。OCSP Stapling本质上仍然依赖OCSP，只是将查询过程由客户端转移到了服务器端。
京公网安备11010502031690号
网站经营企业工商营业执照
