Eine CA betreibt eine Hierarchie: einen offline gehaltenen Root-Schlüssel, einen oder mehrere online betriebene Schlüssel von Zwischen-CAs in HSMs und um sie herum die Systeme für Validierung, Ausstellung, Widerruf (CRL und optional OCSP) und Protokollierung. Die Regeln der CA stehen in einer Zertifikatsrichtlinie (Certificate Policy) und einem Certification Practice Statement (im Format von RFC 3647) und werden durch jährliche Audits (WebTrust oder ETSI) geprüft.
Öffentlich vertrauenswürdig sind CAs, deren Root-Zertifikate in den Root Stores von Browsern und Betriebssystemen liegen (Mozilla, Chrome, Apple, Microsoft). Diese CAs müssen die Baseline Requirements des CA/Browser Forums und die Richtlinie jedes Root-Programms einhalten, alle TLS-Zertifikate in Certificate Transparency veröffentlichen und öffentlich auf Vorfälle reagieren. Root-Programme entfernen CAs, die versagen: DigiNotar 2011, WoSign und StartCom 2016–2017, die PKI von Symantec 2017–2018 und die TLS-Root-Zertifikate von Entrust, denen Chrome 131 für Zertifikate nicht mehr vertraut, deren frühester SCT nach dem 11. November 2024 datiert.
Privaten CAs (für interne Dienste, mTLS, Geräte, VPNs) wird nur dort vertraut, wo ihr Root-Zertifikat installiert ist, und sie unterliegen nicht den öffentlichen Laufzeitgrenzen; betrieben werden sie mit Tools wie step-ca, Vault PKI, AWS Private CA und dem OpenSSL-Befehl ca.