# SC-063v4：OCSP 改为可选，CRL 改为必需

> SC-063v4 让公开 TLS CA 可以不再提供 OCSP，但必须发布 CRL，并定义了有效期不超过 10 天、无需吊销信息的短期证书，2024-03-15 起生效。

Source: https://ssl.sh/zh/ballots/sc-063/
Last updated: 2026-11-10

SC-063v4 把证书吊销规则倒了过来：从 2024-03-15 起，公开受信任的 TLS CA 不再必须运行 [OCSP](https://ssl.sh/zh/glossary/ocsp/) 服务，但必须发布 [CRL](https://ssl.sh/zh/glossary/crl/)。同一个投票还新增了“短期证书”：有效期最长 10 天（2026-03-15 起最长 7 天），完全不需要吊销信息地址。

## 改了什么

SC-063v4 把 OCSP 改为可选、把 CRL 改为必需，并让短期证书不必吊销。继续提供 OCSP 的 CA 仍要遵守原有规则。CRL 有了格式规定：CA 要么发布一份完整 CRL，要么发布若干分片 CRL，合起来覆盖全部证书；吊销后 24 小时内要发布新 CRL，平时所有证书都带 OCSP 地址时至少每 7 天更新，否则至少每 4 天。短期证书可以不带 CRL、OCSP 地址，也不必吊销，到期就自然失效。

提案来自 Google 的 Chrome 根证书计划，微软和 Sectigo 附议。

## 生效日期

基线要求的修改于 2024-03-15 生效；短期证书 7 天上限适用于 2026-03-15 起签发的证书。

## 影响谁

主要工作落在 CA 身上。站长能感受到的变化来自 CA 随后关停 OCSP：比如 [Let's Encrypt](https://ssl.sh/zh/cas/lets-encrypt/) 宣布停止 OCSP 服务。[OCSP 装订](https://ssl.sh/zh/glossary/ocsp-stapling/)只在 CA 仍提供 OCSP 时有效，带 [OCSP Must-Staple](https://ssl.sh/zh/glossary/must-staple/) 扩展的证书则完全依赖它。

## 该怎么做

Nginx 里的 `ssl_stapling on` 可以保留，证书里没有 OCSP 地址时它会自动不生效，不会报错；宝塔面板默认配置同理。不要再申请 Must-Staple 证书。自己写的客户端如果要检查吊销状态，应支持 CRL。原理见 [OCSP 与 CRL](https://ssl.sh/zh/learn/ocsp-and-crl/)。


| 字段 | 值 |
|---|---|
| 投票 | SC-063v4 |
| 状态 | 通过 |
| 通过 | 2023-08-17 |
| 生效 | 2024-03-15 |
| BR 版本 | 2.0.1 |
| 官方页面 | https://cabforum.org/2023/07/14/ballot-sc063v4-make-ocsp-optional-require-crls-and-incentivize-automation/ |