CDN证书没有OCSP地址正常吗：撤销检查不能照抄旧教程

给CDN更新证书后，检测工具提示“没有OCSP地址”，是否应该立即回滚？需要先看证书签发方和工具的判断规则。部分旧检查脚本把OCSP当作所有证书的必备字段，已经无法准确判断当前部署。

先确认这项变化已经发生

Let’s Encrypt在2025年8月6日的公告中确认关闭其OCSP服务，并通过CRL发布撤销信息。其此前的迁移说明还要求依赖OCSP的非浏览器软件验证兼容性。这个变化属于该签发机构，不能推广为所有CA均已取消OCSP。

因此，应从当前证书和签发方文档判断预期字段。没有OCSP地址不自动代表证书损坏；同样，某个旧地址还可以访问，也不等于它能够提供当前证书的有效撤销信息。

把三类检查分别记录

不要让“证书还有三个月”替代其他检查，也不要让单项扫描分数决定是否发布。需要知道报错来自字段缺失、网络获取失败，还是实际验证失败。

优先查找被写死的旧依赖

检查监控脚本是否要求必须出现OCSP URL，服务器模板是否配置了失效的响应地址，以及自动申请流程是否仍请求签发方已不接受的扩展。修改前先保存具体报错和当前材料，避免为了消除一个提示改变其他正常配置。

VPN、内部服务、老SDK或设备客户端可能使用与浏览器不同的验证实现。应让维护方给出支持说明，并在测试环境使用当前签发方式的证书验证。浏览器能打开官网，并不能代替这些程序的验收。

网络限制也要按实际机制核对

对于需要联网获取撤销信息的客户端，核对它实际访问的目的地、失败处理和更新周期。不能为了兼容就把所有外连永久放开，也不能仅保留几年前的域名清单后认定功能完整。

若使用受控信任库或企业代理，应明确由哪一方负责状态更新，保留测试结果和变更责任人。遇到暂时不可获取信息的情况，按软件支持机制和组织要求处理，不以关闭证书验证作为长期修复。

更新验收规则，而不只更新证书

完成适配后，选择正常证书、配置错误和受控失败场景，检查监控能否区分问题类型。告警文字应说明实际失败的检查，避免继续用“缺少OCSP就是不安全”误导值班人员。

在SCDN证书运维交接中，将签发方变化、服务器设置和业务客户端放在同一记录里。续期流程可衔接证书部署验收，但是否通过仍以实际客户端正确建立连接为依据。

资料核对日期：2026年10月30日。本文由AI辅助整理，技术事实依据文内原始资料核对。示例与操作清单供实施参考；产品配置和软件维护状态以实施时的官方资料为准。