Ein Zertifikat ist nur so vertrauenswürdig wie der Pfad von ihm zu einem Vertrauensanker, den der Verifizierer bereits hat. Zur Prüfung gehören die Signatur des Ausstellers, der Gültigkeitszeitraum, der Name, den der Client tatsächlich erreichen wollte (bei TLS der subjectAltName), die erlaubten Verwendungszwecke, der Widerrufsstatus und jedes Zertifikat bis zu einem vertrauenswürdigen Root-Zertifikat (RFC 5280 §6).
Öffentlich vertrauenswürdige TLS-Zertifikate werden nach den Baseline Requirements des CA/Browser Forums ausgestellt: Die ausstellende CA prüft, ob der Antragsteller über jede Domain verfügt, protokolliert das Zertifikat in Certificate Transparency und begrenzt seine Laufzeit. Mit Ballot SC-081v3 sank die maximale Laufzeit für Zertifikate, die ab dem 15. März 2026 ausgestellt werden, von 398 auf 200 Tage; ab dem 15. März 2027 sinkt sie auf 100 Tage und ab dem 15. März 2029 auf 47 Tage.
Es gibt weitere Zertifikatsformate: OpenSSH-Zertifikate (ein einfacheres Format signierter Schlüssel), von anderen Schlüsseln signierte OpenPGP-Schlüssel, die Card Verifiable Certificates elektronischer Reisepässe (ePassports) und die Merkle Tree Certificates, die für Post-Quanten-TLS entwickelt werden. „Zertifikat“ ohne Zusatz meint im Kontext von TLS oder Browsern X.509.