Eine eingeschränkte Zwischen-CA mit permittedSubtrees aus dNSName: example.com kann nur für example.com und die zugehörigen Subdomains ausstellen; ein zusätzlicher ausgeschlossener Teilbaum nimmt bestimmte Namen heraus. Verifizierer wenden die Einschränkungen bei der Pfadvalidierung (RFC 5280 §6.1.3) auf jedes Zertifikat unterhalb der CA an.
Name Constraints sind der sichere Weg, die Ausstellung zu delegieren: Eine Organisation kann eine technisch eingeschränkte Zwischen-CA für ihre eigenen Domains erhalten, und das CA/Browser Forum behandelt solche Sub-CAs bei den Audit-Anforderungen anders. Die Unterstützung war früher lückenhaft (manche Clients ignorierten die Erweiterung oder scheiterten an kritischen Name Constraints), doch moderne Browser, OpenSSL, Go und Java setzen sie durch.
Fallstricke: Einschränkungen für DNS-Namen erfassen nicht automatisch einen Hostnamen, der nur im commonName des Subjects steht, sodass sich Verifizierer täuschen lassen, die noch den CN auswerten. Außerdem brauchen IP-Einschränkungen sowohl eine Adresse als auch eine Maske.