随着互联网安全需求的不断提升，数字证书作为保障网络通信安全的重要工具，其验证机制的重要性也日益凸显。Let's Encrypt 作为全球最大的免费自动化证书颁发机构，其服务的变革必将对广大网站及应用产生深远影响。2024 年底，Let's Encrypt 正式宣布，其将于 2025 年放弃在证书中包含在线证书状态协议（OCSP）URL，转而全面采用证书撤销列表（CRL）来提供证书状态验证信息，此举引发了业界的广泛关注。 近年来，OCSP 作为证书撤销信息查询的主流标准，被广泛应用于浏览器和各种软件客户端对证书状态的实时检查。通过 OCSP，证书使用者能够向证书颁发机构查询证书是否有效，是否被撤销，从而防止使用被撤销证书的恶意服务器。然而，随着技术环境的演变，OCSP 机制也暴露出诸多问题，其最大的短板之一便是严重的隐私泄露风险。
当客户端访问网站并发起 OCSP 请求时，证书颁发机构能够直接获取访问的网站地址及访客的 IP 信息，即使颁发机构承诺不保存相关数据，仍存在被法律强制获取的可能。这种设计从根本上违背了互联网用户隐私保护的初衷。 除隐私问题外，OCSP 还存在性能瓶颈和服务可用性隐患。OCSP 查询需实时访问颁发机构的服务端，依赖网络通道和服务器响应，若遇到网络堵塞、服务器宕机或阻断，用户可能遭遇证书状态不可确认的情况，影响网页正常访问。另外，越来越多的流量需求造成的服务器压力，也使得持续维护高性能的 OCSP 服务变得成本高昂且不经济。针对这些痛点，Let's Encrypt 从 2022 年起开始支持基于证书撤销列表（CRL）的验证方案。
CRL 机制通过统一发布已撤销证书的列表文件，允许客户端定期下载并离线验证，而无需单次查询网络服务。CRL 不仅避免了用户访问记录实时暴露给颁发机构，也在服务器资源消耗方面比 OCSP 更加高效。 由此，Let's Encrypt 决定自 2025 年起停止在新证书中包含 OCSP URL，并逐步关闭自身 OCSP 响应服务。根据官方规划，2025 年 1 月 30 日之后，将禁止包含“OCSP Must Staple”扩展的新证书申请；5 月 7 日开始，将正式从证书中移除 OCSP URL 并使所有包含该扩展的证书请求失败；8 月 6 日后，OCSP 服务完全关闭。此系列措施表明，OCSP 将在 Let's Encrypt 证书生态中彻底退出舞台。 许多人可能对“OCSP Must Staple”这一术语感到陌生。
它是 OCSP 的一个安全扩展，使得浏览器要求服务器在 TLS 握手时主动“装订”OCSP 响应，避免浏览器直接向颁发机构发起请求，从而兼顾了隐私与安全。尽管这一设计理念先进，但实际应用中受到浏览器支持不足、服务器配置复杂以及带来潜在宕机风险的限制，未能广泛采用。随着 OCSP 本身的淘汰，这一机制也随之被弃用。 对广大网站管理员、开发者和企业用户而言，Let's Encrypt 的这一变更带来了显著影响。首先，任何依赖 OCSP 进行证书状态验证的非浏览器场景，尤其是 VPN、邮件服务器等后台应用，需要尽早确认系统是否支持无 OCSP URL 的证书验证，避免因查询失败导致安全服务中断。其次，涉及“OCSP Must Staple”扩展示例的账号用户必须在 2025 年 5 月之前取消相关配置，否则将面临续签失败。
另一个值得关注的点是，对于普通用户和主流浏览器访问大多数网站，本次变动几乎没有负面影响。主流浏览器对 CRL 的支持完善且表现稳定，且部分浏览器早已实现通过 CRL、缓存和其他机制保证证书验证的连续性。因此，网站最终用户的访问体验将得到保障，不会因为 OCSP 的取消而出现常见访问阻断。 同时，从产品与服务角度看，这一转变使 Let's Encrypt 能够简化基础设施，节省资源，更专注于提升证书自动签发和管理的可靠性与效率。随着互联网生态对隐私保护需求不断增强，采用 CRL 也符合未来数字身份验证的发展趋势。业界也可预见，更多证书颁发机构将效仿这一做法，逐步摒弃 OCSP，强化用户隐私保护。
对于正在使用 Let’s Encrypt 证书的企业和开发者，现阶段最重要的是尽早调整自身的证书管理和验证流程。首先，必须确认用于证书申请和续期的 ACME 客户端不再请求 OCSP Must Staple 扩展，避免 2025 年后证书签发失败。其次，评估和测试自身系统对无 OCSP URL 证书的兼容性，如 VPN 设备、服务器应用等，确保能够正确使用基于 CRL 的撤销验证机制。 最后，关注 Let’s Encrypt 发布的证书列表信息，及时掌握自身证书是否包含 OCSP Must Staple 以及相关撤销数据，保证在变更过程中能迅速响应并调整。业界社区和官方文档也将提供持续的支持和指导。 总体而言，Let's Encrypt 停止支持证书中的 OCSP URL 是互联网安全发展中的一次重要里程碑。
它反映了数字证书生态向更佳隐私保护和更高效架构迈进的趋势。虽然对某些专用场景和非标准软件可能带来挑战，但随着技术调整和标准完善，未来网络通信环境将更加稳定、隐私安全。 企业、开发者和安全专家应积极拥抱这一变化，借助官方提供的工具和指南完成平滑过渡，确保业务安全持续稳定运行。借助 CRL 机制的普及，无论是网站用户还是后台系统，都将享有更加安全、隐私友好的证书验证体验。Let's Encrypt 作为全球领先的免费证书服务提供者，其变革不仅指引了未来安全验证方向，也令整个互联网安全生态迈出更坚实的一步。
