A requisição identifica o certificado pelo hash do nome do emissor, pelo hash da chave do emissor e pelo número de série, normalmente via HTTP GET ou POST para a URL que consta na extensão Authority Information Access do certificado. A resposta é assinada pela CA ou por um certificado de respondedor delegado com o EKU id-kp-OCSPSigning e traz thisUpdate e nextUpdate; os Baseline Requirements limitam a validade das respostas sobre certificados de assinante a um período entre 8 horas e 10 dias.
As consultas OCSP em tempo real vazam o histórico de navegação para a CA, aumentam a latência e, nos navegadores, falham em modo aberto (fail open) quando o respondedor está inacessível. O OCSP stapling transfere a consulta para o servidor, mas a adoção ficou parcial. A votação SC-063 tornou o OCSP opcional para as CAs públicas e as CRLs obrigatórias a partir de 15 de março de 2024; a Let's Encrypt deixou de incluir URLs de OCSP em maio de 2025 e desligou seus respondedores em 6 de agosto de 2025, e o Firefox 142 deixou de consultar o OCSP para certificados com validação de domínio, em favor do CRLite.
O OCSP continua comum em PKIs privadas, em sistemas governamentais e de cartões inteligentes e na assinatura de código. O decodificador de OCSP analisa requisições e respostas.