Une requête désigne le certificat par le condensat du nom de l’émetteur, le condensat de la clé de l’émetteur et le numéro de série ; elle est généralement envoyée par HTTP GET ou POST à l’URL indiquée dans l’extension Authority Information Access du certificat. La réponse est signée par l’AC ou par un certificat de répondeur délégué doté de l’EKU id-kp-OCSPSigning, et contient thisUpdate et nextUpdate ; les Baseline Requirements limitent la validité des réponses portant sur des certificats d’abonnés à une durée comprise entre 8 heures et 10 jours.
Les interrogations OCSP en direct divulguent l’historique de navigation à l’AC, ajoutent de la latence et, dans les navigateurs, laissent passer la connexion (fail open) quand le répondeur est injoignable. L’agrafage OCSP déplace la récupération de la réponse vers le serveur, mais son adoption est restée partielle. Le vote (ballot) SC-063 a rendu OCSP facultatif pour les AC publiques et les CRL obligatoires à compter du 15 mars 2024 ; Let’s Encrypt a cessé d’inclure des URL OCSP en mai 2025 et a arrêté ses répondeurs le 6 août 2025, et Firefox 142 a cessé d’interroger OCSP pour les certificats à validation de domaine, au profit de CRLite.
OCSP reste courant dans les PKI privées, les systèmes à cartes à puce et ceux des administrations, ainsi que pour la signature de code. Le décodeur OCSP analyse les requêtes et les réponses.