Protocole de vérification d'état de certificat (OCSP)

Définition

Le protocole de vérification d'état de certificat, ou Online Certificate Status Protocol (OCSP), est un mécanisme permettant de vérifier en temps quasi réel si un certificat numérique demeure valide ou a été révoqué par son autorité de certification, en alternative à la liste de révocation de certificats souvent plus volumineuse et moins réactive. Un client OCSP interroge un répondeur dédié, généralement via une requête HTTP sur le port TCP 80 ou 443, en soumettant l'identifiant du certificat, et reçoit en retour une réponse signée indiquant un statut valide, révoqué ou inconnu. Cette architecture soulève toutefois des enjeux de confidentialité, le répondeur OCSP pouvant théoriquement observer les sites consultés par un utilisateur, ainsi que des enjeux de performance, chaque connexion sécurisée nécessitant potentiellement une requête supplémentaire. Pour répondre à ces limites, l'extension OCSP stapling permet au serveur web de joindre directement une réponse OCSP fraîche lors de l'établissement de la session TLS, évitant ainsi une requête tierce du navigateur client. La disponibilité du service OCSP est critique, une panne pouvant conduire certains clients à un comportement fail-open, acceptant le certificat sans vérification, ou fail-closed, bloquant l'accès. La gouvernance de ce protocole s'inscrit dans la gestion du cycle de vie des clés et des certificats, exigence structurante des référentiels ISO 27001 et NIST 800-53 sur la cryptographie.