Les serveurs de Mozilla collectent les CRL de toutes les AC publiques, les croisent avec le corpus des certificats journalisés dans CT et construisent une cascade de filtres qui répond à la question « révoqué ou non ? » sans le moindre faux résultat pour un certificat journalisé. Les clients téléchargent un filtre complet, puis de petites mises à jour (Firefox l’actualise toutes les 12 heures) : une consultation ne divulgue donc rien et n’ajoute aucun aller-retour réseau.
CRLite a été étudié par Larisch et ses collègues (2017), puis activé pour tous les utilisateurs de Firefox sur ordinateur dans la version 137 (2025) ; avec Firefox 142, Mozilla a cessé d’envoyer des requêtes OCSP pour les certificats à validation de domaine. CRLite dépend de l’obligation de publier des CRL et de la journalisation CT de chaque certificat.
Les autres navigateurs utilisent des agrégats différents : les CRLSets de Chrome couvrent un sous-ensemble choisi de révocations, surtout des intermédiaires et des cas à fort impact, et OneCRL, chez Mozilla, couvre les certificats intermédiaires.