Un certificado solo es tan fiable como la ruta que va de él a un ancla de confianza que el verificador ya tiene. Verificarlo significa comprobar la firma del emisor, el período de validez, el nombre que el cliente realmente quería (el subjectAltName en TLS), los usos permitidos, el estado de revocación y cada certificado hasta una raíz de confianza (RFC 5280 §6).
Los certificados TLS de confianza pública se emiten conforme a los Baseline Requirements del CA/Browser Forum: la CA emisora valida el control de cada dominio, registra el certificado en Certificate Transparency y limita su vida útil. Con la votación SC-081v3, la vida útil máxima bajó de 398 a 200 días para los certificados emitidos a partir del 15 de marzo de 2026, y baja a 100 días a partir del 15 de marzo de 2027 y a 47 días a partir del 15 de marzo de 2029.
Existen otros formatos de certificado: los certificados de OpenSSH (un formato más sencillo de clave firmada), las claves OpenPGP firmadas por otras claves, los certificados verificables por tarjeta de los pasaportes electrónicos (ePassports) y los Merkle Tree Certificates que se están diseñando para TLS poscuántico. «Certificado» a secas, en un contexto de TLS o de navegador, significa X.509.