Materi
Glosarium NIST menyebut otoritas sertifikat (CA) sebagai entitas tepercaya yang menerbitkan dan mencabut sertifikat kunci publik. Sertifikat X.509 dalam RFC 5280 mengikat sebuah kunci publik ke subjeknya. Medan yang dibaca analis: issuer, entitas yang menandatangani dan menerbitkan sertifikat; validity, masa berlaku dari notBefore sampai notAfter termasuk kedua ujungnya, ditulis dalam waktu GMT; subject; ekstensi subjectAltName, tempat nama DNS, alamat IP, atau surel diikat ke subjek; dan basicConstraints, yang menyatakan apakah subjeknya CA. Bila CA:FALSE, kunci publiknya tidak boleh dipakai memverifikasi tanda tangan sertifikat lain.
Kepercayaan disusun sebagai jalur sertifikasi: rantai sertifikat yang dimulai dari sertifikat yang tanda tangannya bisa diverifikasi dengan trust anchor dan berakhir di sertifikat entitas yang sedang dinilai. Trust anchor adalah CA di dasar pohon kepercayaan, dan sertifikat akarnya tersimpan di perangkat. Sertifikat situs jarang ditandatangani langsung oleh akar; di tengahnya ada CA perantara. Bila sertifikat perantara tidak tersedia bagi klien, jalurnya tidak bisa disusun sampai trust anchor dan sertifikat situs ditolak.
Nama situs dicocokkan dengan aturan RFC 9525: tanda bintang hanya boleh satu, hanya sebagai seluruh label paling kiri, dan mewakili tepat satu label. Sertifikat juga bisa tidak sah sebelum masa berlakunya habis: CA mencabutnya, misalnya karena kunci privat bocor, lalu mencantumkan nomor serinya di daftar pencabutan (CRL).
