Appendix A. OCSP over HTTP (OCSP su HTTP)

Questa sezione descrive la formattazione che verrà eseguita sulla richiesta e sulla risposta per supportare HTTP [RFC2616].

A.1. Request (Richiesta)

Le richieste OCSP basate su HTTP possono utilizzare il metodo GET o POST per inviare le loro richieste. Per abilitare la memorizzazione nella cache HTTP, le piccole richieste (che dopo la codifica sono inferiori a 255 byte) POSSONO (MAY) essere inviate utilizzando GET. Se la memorizzazione nella cache HTTP non è importante o se la richiesta è maggiore di 255 byte, la richiesta DOVREBBE (SHOULD) essere inviata utilizzando POST. Ove la privacy sia un requisito, le transazioni OCSP scambiate utilizzando HTTP POSSONO (MAY) essere protette utilizzando Transport Layer Security/Secure Socket Layer (TLS/SSL) o qualche altro protocollo di livello inferiore.

Una richiesta OCSP che utilizza il metodo GET è costruita come segue:

GET {url}/{url-encoding of base-64 encoding of the DER encoding of the OCSPRequest}

dove {url} può essere derivato dal valore dell'estensione di accesso alle informazioni dell'autorità (authority information access) nel certificato controllato per la revoca, o altra configurazione locale del client OCSP.

Una richiesta OCSP che utilizza il metodo POST è costruita come segue: L'intestazione Content-Type ha il valore "application/ocsp-request", mentre il corpo del messaggio è il valore binario della codifica DER della OCSPRequest.

A.2. Response (Risposta)

Una risposta OCSP basata su HTTP è composta dalle intestazioni HTTP appropriate, seguite dal valore binario della codifica DER della OCSPResponse. L'intestazione Content-Type ha il valore "application/ocsp-response". L'intestazione Content-Length DOVREBBE (SHOULD) specificare la lunghezza della risposta. Altre intestazioni HTTP POSSONO (MAY) essere presenti e POSSONO (MAY) essere ignorate se non comprese dal richiedente.