Las CA intermedias llevan basicConstraints con cA establecido en true, a menudo un pathLenConstraint, el uso de clave keyCertSign y cRLSign y, según las reglas actuales de los programas raíz, usos extendidos de clave que las limitan a un solo propósito. El programa raíz de Chrome, por ejemplo, exige que las nuevas CA subordinadas que se usan para TLS declaren solo id-kp-serverAuth.
Como es el servidor quien debe enviarlas, las CA intermedias son la pieza que falta con más frecuencia en un despliegue de TLS. Rotan más a menudo que las raíces: en 2026, Let's Encrypt sustituyó sus intermedias R10–R14 y E5–E9 por las series YR y YE, y un servidor con una cadena antigua fijada en el código pasa a servir una cadena incorrecta.
El compromiso de una CA intermedia o su emisión indebida se resuelven revocándola en la CRL de la CA superior y con listas de bloqueo que distribuyen los propios navegadores (OneCRL de Mozilla, CRLSets de Chrome), algo más rápido que esperar a que cada cliente descargue las CRL.