Eine Anfrage bezeichnet das Zertifikat über den Hash des Ausstellernamens, den Hash des Ausstellerschlüssels und die Seriennummer, meist per HTTP GET oder POST an die URL in der Erweiterung Authority Information Access des Zertifikats. Die Antwort ist von der CA oder einem delegierten Responder-Zertifikat mit der EKU id-kp-OCSPSigning signiert und enthält thisUpdate und nextUpdate; die Baseline Requirements begrenzen die Gültigkeit von Antworten zu Subscriber-Zertifikaten auf einen Wert zwischen 8 Stunden und 10 Tagen.
Live-OCSP-Abfragen verraten der CA den Browserverlauf, erhöhen die Latenz und werden von Browsern bei nicht erreichbarem Responder einfach übergangen (Fail-open). OCSP-Stapling verlagert den Abruf auf den Server, wurde aber nur teilweise übernommen. Ballot SC-063 machte OCSP für öffentliche CAs ab dem 15. März 2024 optional und CRLs verpflichtend; Let's Encrypt nimmt seit Mai 2025 keine OCSP-URLs mehr in Zertifikate auf und hat seine Responder am 6. August 2025 abgeschaltet, und Firefox 142 fragt OCSP für domainvalidierte Zertifikate nicht mehr ab und setzt stattdessen auf CRLite.
OCSP ist in privaten PKIs, Smartcard- und Behördensystemen sowie bei der Codesignatur weiterhin verbreitet. Der OCSP-Decoder analysiert Anfragen und Antworten.