Discussion on ATS checking origin certificate revocation status

This came up as a result of https://www.digicert.com/support/certificate-revocation-incident

Does ATS check revocation status of origin certificates? If not, should it be a configuration setting to do so?

Regarding which method to use, this recent post from Let's Encrypt indicates OCSP (not stapling) on the way out and CRLs are in fashion again: https://letsencrypt.org/2024/07/23/replacing-ocsp-with-crls.html

Beginne damit zu ermitteln, wie ATS Origin-Zertifikate validiert und ob derzeit eine Zertifikatswiderrufsprüfung erfolgt. Überprüfe die relevanten TLS- und Origin-Verbindungspfade und vergleiche anschließend die OCSP- und CRL-Optionen des Issues; dokumentiere, welches Verhalten oder welche Konfiguration erforderlich wäre.

Vom Indexierungsmodell aus dem Issue-Text verfasst.