OCSP Responder （OCSP 响应服务器）

OCSP Responder 是证书 AIA 扩展里登记的那个地址背后的 HTTP 服务，专门回答 OCSP 查询。按 RFC 6960，响应必须由签发 CA 本身签名，或者由 CA 直接签发、带有 OCSP Signing 扩展密钥用法的委托响应证书签名。大型 CA 通常会为所有未过期证书预先生成响应，再通过 CDN 分发：请求可以用 HTTP GET 发送，响应在 nextUpdate 之前都能被缓存。

为什么重要

所有依赖方都可能访问这个服务，它的可用性、延迟和数据新鲜度会直接影响网站。服务故障时，大多数浏览器会软失败放行；但强制执行 Must-Staple 的客户端、依赖 Stapling 的服务器就可能出问题。响应服务器还能看到谁在查询哪张证书，这正是业界转向 Stapling、CRL 和浏览器推送吊销列表的原因之一。SC-063 投票让 OCSP 变为可选后，一些 CA 开始下线响应服务器，Let's Encrypt 已于 2025-08-06 关闭。

例子

直接向响应服务器查询，并打印完整的签名响应：

openssl ocsp -issuer intermediate.pem -cert cert.pem \
  -url http://ocsp.example.com -resp_text

输出里的 Responder Id 表示是谁签的这份响应；如果响应附带了委托响应证书，它的扩展密钥用法中会出现 OCSP Signing。This Update 和 Next Update 则反映这份缓存响应有多“新”。

常见误区

• 响应服务器每次都实时查询数据库。 多数响应是预先签好并缓存的，刚吊销的证书可能要等下一次刷新才体现出来。
• CA 签发的任何证书都能签 OCSP 响应。 只有 CA 私钥本身，或 CA 直接签发、带 OCSP Signing 用途的证书才被授权。
• 响应服务器宕机会让访客打不开网站。 通常不会，因为客户端会软失败放行，这也说明攻击者只要屏蔽 OCSP 就能让检查失效。