Eine Beglaubigung ist eine Signatur eines Schlüssels über die User-ID eines anderen Schlüssels, abgegeben nach Prüfung der Identität (traditionell auf Keysigning-Partys). GnuPG berechnet die Gültigkeit aus diesen Beglaubigungen und dem Besitzervertrauen (Owner Trust), das ein Benutzer Beglaubigenden zuweist; außerdem bietet es TOFU-Modelle (Trust on First Use) und behandelt Schlüssel, die ein Benutzer lokal signiert hat, als gültig.
In der Praxis funktioniert das Web of Trust innerhalb von Gemeinschaften wie den Debian-Entwicklern und dem Linux-Kernel, skaliert aber schlecht und legt soziale Graphen offen; das öffentliche SKS-Keyserver-Netz, das Beglaubigungen verteilte, wurde 2019 durch Flooding-Angriffe auf Zertifikate lahmgelegt, die Zehntausende gefälschter Signaturen an Schlüssel hängten, und ist inzwischen abgeschaltet. keys.openpgp.org veröffentlicht Identitäten erst nach einer Verifizierung per E-Mail und verwirft Beglaubigungen Dritter standardmäßig. Viele Projekte kombinieren OpenPGP-Schlüssel heute stattdessen mit Fingerabdruck-Pinning, WKD oder Transparenzlogs.