# 证书吊销是什么？定义、例子与常见误区

> 证书吊销是 CA 在证书到期前宣布其作废的操作，通过 CRL 或 OCSP 对外公布，使客户端不再信任这张证书。

Source: https://ssl.sh/zh/glossary/revocation/
Last updated: 2026-11-10

证书吊销是指 CA 在证书有效期结束之前宣布它作废：CA 记录证书序列号和吊销原因，再通过 [CRL](https://ssl.sh/zh/glossary/crl/)（以及可选的 [OCSP](https://ssl.sh/zh/glossary/ocsp/)）对外公布新状态。常见原因包括私钥泄露、证书签发有误、申请者已不再控制该域名等。中文资料里“吊销”和“撤销”经常混用，指的是同一件事。

## 为什么重要
CA/B 论坛的 Baseline Requirements 对吊销时限有明确规定：例如确认私钥泄露须在 24 小时内吊销，许多其他原因（包括大部分错误签发）须在 5 天内吊销。但吊销只有在客户端察觉时才有用，现实中的检查一直不够有效：实时 OCSP 多为软失败，还会泄露隐私，所以浏览器转而依赖 Chrome CRLSets、Firefox [CRLite](https://ssl.sh/zh/glossary/crlite/) 这类推送列表。这也是行业不断缩短证书有效期的重要原因：按 SC-081v3 投票，最长有效期 2026-03-15 起降为 200 天，2027-03-15 起为 100 天，2029-03-15 起为 47 天，即使吊销没能生效，泄露的证书也会很快过期。

## 例子
用 Certbot 吊销一张私钥已泄露的 Let's Encrypt 证书：

```bash
sudo certbot revoke \
  --cert-path /etc/letsencrypt/live/example.com/cert.pem \
  --reason keycompromise
```

吊销之后要用新私钥重新申请证书，否则网站会一直挂着一张无效证书。在阿里云、腾讯云等平台购买的证书，通常在对应的证书控制台提交吊销申请。

## 常见误区
- **删掉证书文件就等于吊销。** 只要有人还持有私钥副本，就能继续使用这张证书；只有吊销才会通知客户端不再信任它。
- **吊销后全球立即生效。** 要等下一版 CRL、OCSP 更新或浏览器推送才生效，有的客户端甚至从不检查。
- **吊销后还能继续用旧私钥。** 如果原因是私钥泄露，必须生成新密钥；按规定，CA 必须拒绝已知泄露的密钥。

## 相关术语

- [CRL](https://ssl.sh/zh/glossary/crl/): CRL 是由 CA 签名并定期重新发布的证书吊销列表，列出它在证书到期前就已吊销的证书序列号。
- [OCSP](https://ssl.sh/zh/glossary/ocsp/): OCSP 是 RFC 6960 定义的在线证书状态协议，客户端可以向 CA 的响应服务器查询某一张证书当前是有效、已吊销还是未知。
- [OCSP Stapling](https://ssl.sh/zh/glossary/ocsp-stapling/): OCSP Stapling 是 TLS 服务器把 CA 签名、带有效期的 OCSP 响应随握手一起发给客户端的机制，浏览器因此不必再自己去问 CA。
- [CRLite](https://ssl.sh/zh/glossary/crlite/): CRLite 是 Mozilla 为 Firefox 打造的压缩吊销数据集，浏览器无需联系 CA，就能在本地判断公开记录的证书是否已被吊销。
- [短期证书](https://ssl.sh/zh/glossary/short-lived-certificate/): 短期证书是有效期只有几天的 TLS 证书，靠快速过期而不是吊销来限制被盗证书可被滥用的时间。
- [私钥](https://ssl.sh/zh/glossary/private-key/): 私钥是非对称密钥对中保密的那一半，TLS 服务器用它证明自己拥有证书里的那把公钥。
- [错误签发](https://ssl.sh/zh/glossary/misissuance/): 错误签发是指 CA 违反 Baseline Requirements 或根证书计划政策签发证书，从验证缺陷到字段格式错误都算在内。
- [Baseline Requirements](https://ssl.sh/zh/glossary/baseline-requirements/): Baseline Requirements 是 CA/B 论坛制定的基线要求，规定公开信任的 CA 在验证、签发和吊销 TLS 服务器证书时必须遵守的规则。