Una solicitud identifica el certificado por el hash del nombre del emisor, el hash de la clave del emisor y el número de serie, normalmente por HTTP GET o POST a la URL indicada en la extensión Authority Information Access del certificado. La respuesta la firma la CA o un certificado de respondedor delegado con el EKU id-kp-OCSPSigning, y lleva thisUpdate y nextUpdate; los Baseline Requirements limitan la validez de las respuestas para suscriptores a entre 8 horas y 10 días.
Las consultas OCSP en directo revelan el historial de navegación a la CA, añaden latencia y, en los navegadores, fallan de forma permisiva (fail open) cuando el respondedor no está disponible. El grapado OCSP traslada la consulta al servidor, pero su adopción se quedó en parcial. La votación SC-063 hizo OCSP opcional para las CA públicas y las CRL obligatorias a partir del 15 de marzo de 2024; Let's Encrypt dejó de incluir URL de OCSP en mayo de 2025 y apagó sus respondedores el 6 de agosto de 2025, y Firefox 142 dejó de consultar OCSP para los certificados con validación de dominio en favor de CRLite.
OCSP sigue siendo habitual en las PKI privadas, en los sistemas de tarjetas inteligentes y de administraciones públicas, y en la firma de código. El decodificador de OCSP analiza solicitudes y respuestas.