SC-076v2：签发后 15 分钟内必须能查到 OCSP

SC-076v2 整理了 OCSP 规则，并定下一个具体期限：从 2025-01-15 起，只要 TLS 证书里带 OCSP 地址，CA 的 OCSP 服务就必须在证书首次发布后 15 分钟内，对它给出权威的“正常”或“已吊销”应答。

改了什么

SC-076v2 把所有 OCSP 要求移到 §4.9.9，并解决了投票文本列出的三处混乱。一是“保留”序列号：既然每个预证书的序列号都默认对应一张真实证书，这个概念就被取消，此类序列号一律视为已分配。二是 OCSP 服务对新证书和预证书要多快开始应答：现在是 15 分钟。三是对于证书里没有 OCSP 地址、但服务端仍愿意应答的情况，规则是否适用。§4.9.9 把这些要求分为定义、对服务端的要求（只针对已签发证书里列出的服务端）和对应答的要求（针对所有应答）三组。

生效日期

基线要求修改于 2024-11-14 生效；15 分钟的规定从 2025-01-15 起执行。

影响谁

SC-076v2 影响仍在运行 OCSP 的 CA；SC-063v4 已让 OCSP 变成可选，此后 Let's Encrypt 等 CA 关停了 OCSP 服务。对站长来说，这条规定和 OCSP 装订有关：以前刚装上新证书时，Web 服务器可能取到“unknown”应答并把它装订出去。

该怎么做

没有新的操作要求。如果开启了 OCSP 装订（Nginx 的 ssl_stapling on），又习惯证书签发后几秒内就部署，稍等片刻再重载，或依赖服务器自动重试装订，就能避免送出无用的应答。整体原理见 OCSP 与 CRL。