保障，不存在的。仔细阅读订户协议你会发现，CA 基本上没有赔偿的义务。

没区别，OCSP 基本已经快废弃了，现在又回归用 crl 这种模式。证书链长只是为了提高兼容性而已，老的一批根证书这两年也陆续被浏览器淘汰了，所以以后不管是速度还是兼容性上，都没啥区别。