Запрос указывает сертификат через хеш имени издателя, хеш ключа издателя и серийный номер и обычно отправляется методом HTTP GET или POST на URL из расширения Authority Information Access сертификата. Ответ подписан самим CA или делегированным ответчиком с сертификатом, в котором указан EKU id-kp-OCSPSigning, и включает поля thisUpdate и nextUpdate; Базовые требования (Baseline Requirements) ограничивают срок действия ответов для конечных сертификатов интервалом от 8 часов до 10 дней.
Запросы OCSP в реальном времени сообщают CA, какие сайты открывает пользователь, добавляют задержку, а если ответчик недоступен, браузеры молча пропускают проверку (fail open). OCSP stapling переносит получение ответа на сервер, но широкого распространения так и не получил. Бюллетень SC-063 с 15 марта 2024 года сделал OCSP необязательным для публичных CA, а CRL — обязательными; Let's Encrypt перестал включать URL OCSP в сертификаты в мае 2025 года и отключил свои ответчики 6 августа 2025 года, а Firefox 142 перестал запрашивать OCSP для сертификатов с проверкой домена, перейдя на CRLite.
OCSP по-прежнему широко используется в частных PKI, системах на смарт-картах, государственных системах и для подписи кода. Декодер OCSP разбирает запросы и ответы.