# OCSP Responder是什么？定义、例子与常见误区

> OCSP Responder 是 CA 运营的 HTTP 服务，负责对 OCSP 查询返回带签名的有效、已吊销或未知状态。

Source: https://ssl.sh/zh/glossary/ocsp-responder/
Last updated: 2026-11-10

OCSP Responder 是证书 [AIA](https://ssl.sh/zh/glossary/aia/) 扩展里登记的那个地址背后的 HTTP 服务，专门回答 [OCSP](https://ssl.sh/zh/glossary/ocsp/) 查询。按 RFC 6960，响应必须由签发 CA 本身签名，或者由 CA 直接签发、带有 OCSP Signing [扩展密钥用法](https://ssl.sh/zh/glossary/extended-key-usage/)的委托响应证书签名。大型 CA 通常会为所有未过期证书预先生成响应，再通过 CDN 分发：请求可以用 HTTP GET 发送，响应在 nextUpdate 之前都能被缓存。

## 为什么重要
所有依赖方都可能访问这个服务，它的可用性、延迟和数据新鲜度会直接影响网站。服务故障时，大多数浏览器会软失败放行；但强制执行 [Must-Staple](https://ssl.sh/zh/glossary/must-staple/) 的客户端、依赖 Stapling 的服务器就可能出问题。响应服务器还能看到谁在查询哪张证书，这正是业界转向 Stapling、CRL 和浏览器推送吊销列表的原因之一。SC-063 投票让 OCSP 变为可选后，一些 CA 开始下线响应服务器，Let's Encrypt 已于 2025-08-06 关闭。

## 例子
直接向响应服务器查询，并打印完整的签名响应：

```bash
openssl ocsp -issuer intermediate.pem -cert cert.pem \
  -url http://ocsp.example.com -resp_text
```

输出里的 Responder Id 表示是谁签的这份响应；如果响应附带了委托响应证书，它的扩展密钥用法中会出现 OCSP Signing。This Update 和 Next Update 则反映这份缓存响应有多“新”。

## 常见误区
- **响应服务器每次都实时查询数据库。** 多数响应是预先签好并缓存的，刚吊销的证书可能要等下一次刷新才体现出来。
- **CA 签发的任何证书都能签 OCSP 响应。** 只有 CA 私钥本身，或 CA 直接签发、带 OCSP Signing 用途的证书才被授权。
- **响应服务器宕机会让访客打不开网站。** 通常不会，因为客户端会软失败放行，这也说明攻击者只要屏蔽 OCSP 就能让检查失效。

## 相关术语

- [OCSP](https://ssl.sh/zh/glossary/ocsp/): OCSP 是 RFC 6960 定义的在线证书状态协议，客户端可以向 CA 的响应服务器查询某一张证书当前是有效、已吊销还是未知。
- [OCSP Stapling](https://ssl.sh/zh/glossary/ocsp-stapling/): OCSP Stapling 是 TLS 服务器把 CA 签名、带有效期的 OCSP 响应随握手一起发给客户端的机制，浏览器因此不必再自己去问 CA。
- [证书颁发机构](https://ssl.sh/zh/glossary/certificate-authority/): 证书颁发机构（CA）是负责审核申请者、签发数字证书，并把公钥与域名或身份绑定在一起的机构。
- [EKU](https://ssl.sh/zh/glossary/extended-key-usage/): EKU 即扩展密钥用途，是列出证书可用于哪些目的（如 serverAuth 服务器认证、clientAuth 客户端认证、代码签名）的 X.509 扩展。
- [证书吊销](https://ssl.sh/zh/glossary/revocation/): 证书吊销是 CA 在证书到期前宣布其作废的操作，通过 CRL 或 OCSP 对外公布，使客户端不再信任这张证书。
- [CRL](https://ssl.sh/zh/glossary/crl/): CRL 是由 CA 签名并定期重新发布的证书吊销列表，列出它在证书到期前就已吊销的证书序列号。
- [AIA](https://ssl.sh/zh/glossary/aia/): AIA 即颁发机构信息访问，是 X.509 证书扩展，提供签发 CA 证书的下载地址，以及（可选的）该 CA 的 OCSP 服务地址。