| 软失败 | 无应答时多数实现继续握手，吊销状态未知 |
|---|---|
| 硬失败 | must-staple 或严格吊销检查的客户端会拒绝连接 |
| 运营建议 | 吊销后同步替换证书，不依赖客户端即时感知 |
观察应答时间窗口
观察应答时间窗口
openssl ocsp -issuer issuer.pem -cert leaf.pem -url http://ocsp.example.com -no_nonce -resp_text | head -20多家 CA 在收缩 OCSP 服务（以官方公告为准），吊销方案设计应同时考虑 CRL 与短有效期证书。