Una Certificate Revocation List è un file di dati firmato e pubblicato da un'autorità di certificazione che elenca i certificati che non sono più attendibili prima della loro normale data di scadenza. Ogni certificato revocato è identificato da dettagli come il numero di serie, e i client possono scaricare l'elenco per verificare se un certificato TLS è stato ritirato. Poiché l'elenco è firmato, un client può controllare che provenga davvero dall'autorità emittente e che non sia stato alterato durante il transito.
Le CRL sono importanti perché la revoca fa parte del modello di fiducia alla base di HTTPS, VPN, firma del codice e altri sistemi basati su PKI. Nella difesa, le organizzazioni usano le CRL per smettere di accettare certificati compromessi, emessi in modo errato o non più validi. Nelle operazioni reali, un controllo rigoroso delle CRL può anche causare interruzioni se i client non riescono a raggiungere il punto di distribuzione della CRL, o se un certificato revocato non è stato sostituito rapidamente. I team di sicurezza monitorano quindi la disponibilità delle CRL, automatizzano la rotazione dei certificati e testano il comportamento dei client quando lo stato di revoca cambia.