Zwischenzertifikate tragen basicConstraints mit dem Wert true für cA, oft einen pathLenConstraint, die Key Usage keyCertSign und cRLSign und nach den aktuellen Regeln der Root-Programme Extended Key Usages, die sie auf einen einzigen Zweck beschränken. Das Root-Programm von Chrome etwa verlangt, dass neue untergeordnete CAs für TLS nur id-kp-serverAuth angeben.
Weil der Server sie mitsenden muss, sind Zwischenzertifikate das Teil, das in TLS-Konfigurationen am häufigsten fehlt. Ausgetauscht werden sie öfter als Root-Zertifikate: Let's Encrypt hat 2026 seine Zwischenzertifikate R10–R14 und E5–E9 durch die Serien YR und YE ersetzt, und ein Server mit fest eingetragener alter Kette liefert dann eine falsche aus.
Bei Kompromittierung oder Fehlausstellung einer Zwischen-CA wird sie in der CRL der übergeordneten CA widerrufen und zusätzlich über Sperrlisten blockiert, die die Browser selbst verteilen (OneCRL von Mozilla, CRLSets von Chrome); das geht schneller, als darauf zu warten, dass jeder Client CRLs abruft.