# SC-076v2：签发后 15 分钟内必须能查到 OCSP

> SC-076v2 理清了 OCSP 规则：2025-01-15 起，签发后 15 分钟内 OCSP 必须给出权威应答，并取消了“保留”序列号的概念。

Source: https://ssl.sh/zh/ballots/sc-076/
Last updated: 2026-11-10

SC-076v2 整理了 [OCSP](https://ssl.sh/zh/glossary/ocsp/) 规则，并定下一个具体期限：从 2025-01-15 起，只要 TLS 证书里带 OCSP 地址，CA 的 OCSP 服务就必须在证书首次发布后 15 分钟内，对它给出权威的“正常”或“已吊销”应答。

## 改了什么

SC-076v2 把所有 OCSP 要求移到 §4.9.9，并解决了投票文本列出的三处混乱。一是“保留”序列号：既然每个预证书的序列号都默认对应一张真实证书，这个概念就被取消，此类序列号一律视为已分配。二是 OCSP 服务对新证书和预证书要多快开始应答：现在是 15 分钟。三是对于证书里没有 OCSP 地址、但服务端仍愿意应答的情况，规则是否适用。§4.9.9 把这些要求分为定义、对服务端的要求（只针对已签发证书里列出的服务端）和对应答的要求（针对所有应答）三组。

## 生效日期

基线要求修改于 2024-11-14 生效；15 分钟的规定从 2025-01-15 起执行。

## 影响谁

SC-076v2 影响仍在运行 OCSP 的 CA；[SC-063v4](https://ssl.sh/zh/ballots/sc-063/) 已让 OCSP 变成可选，此后 [Let's Encrypt](https://ssl.sh/zh/cas/lets-encrypt/) 等 CA 关停了 OCSP 服务。对站长来说，这条规定和 [OCSP 装订](https://ssl.sh/zh/glossary/ocsp-stapling/)有关：以前刚装上新证书时，Web 服务器可能取到“unknown”应答并把它装订出去。

## 该怎么做

没有新的操作要求。如果开启了 OCSP 装订（Nginx 的 `ssl_stapling on`），又习惯证书签发后几秒内就部署，稍等片刻再重载，或依赖服务器自动重试装订，就能避免送出无用的应答。整体原理见 [OCSP 与 CRL](https://ssl.sh/zh/learn/ocsp-and-crl/)。


| 字段 | 值 |
|---|---|
| 投票 | SC-076v2 |
| 状态 | 通过 |
| 通过 | 2024-09-26 |
| 生效 | 2024-11-14 |
| BR 版本 | 2.1.0 |
| 官方页面 | https://cabforum.org/2024/10/14/ballot-sc076v2-clarify-and-improve-ocsp-requirements/ |