SC-063v4：OCSP 改为可选，CRL 改为必需

SC-063v4 把证书吊销规则倒了过来：从 2024-03-15 起，公开受信任的 TLS CA 不再必须运行 OCSP 服务，但必须发布 CRL。同一个投票还新增了“短期证书”：有效期最长 10 天（2026-03-15 起最长 7 天），完全不需要吊销信息地址。

改了什么

SC-063v4 把 OCSP 改为可选、把 CRL 改为必需，并让短期证书不必吊销。继续提供 OCSP 的 CA 仍要遵守原有规则。CRL 有了格式规定：CA 要么发布一份完整 CRL，要么发布若干分片 CRL，合起来覆盖全部证书；吊销后 24 小时内要发布新 CRL，平时所有证书都带 OCSP 地址时至少每 7 天更新，否则至少每 4 天。短期证书可以不带 CRL、OCSP 地址，也不必吊销，到期就自然失效。

提案来自 Google 的 Chrome 根证书计划，微软和 Sectigo 附议。

生效日期

基线要求的修改于 2024-03-15 生效；短期证书 7 天上限适用于 2026-03-15 起签发的证书。

影响谁

主要工作落在 CA 身上。站长能感受到的变化来自 CA 随后关停 OCSP：比如 Let's Encrypt 宣布停止 OCSP 服务。OCSP 装订只在 CA 仍提供 OCSP 时有效，带 OCSP Must-Staple 扩展的证书则完全依赖它。

该怎么做

Nginx 里的 ssl_stapling on 可以保留，证书里没有 OCSP 地址时它会自动不生效，不会报错；宝塔面板默认配置同理。不要再申请 Must-Staple 证书。自己写的客户端如果要检查吊销状态，应支持 CRL。原理见 OCSP 与 CRL。