Una CA intermedia restringida con permittedSubtrees de dNSName: example.com solo puede emitir para example.com y sus subdominios; añadir un subárbol excluido elimina nombres concretos. Los verificadores aplican las restricciones a todos los certificados que están por debajo de la CA durante la validación de la ruta (RFC 5280 §6.1.3).
Es la forma segura de delegar la emisión: una organización puede recibir un certificado intermedio técnicamente restringido para sus propios dominios, y el CA/Browser Forum da a esas sub-CA un trato distinto en los requisitos de auditoría. La compatibilidad solía ser irregular (algunos clientes ignoraban la extensión o fallaban ante restricciones de nombres críticas), pero los navegadores modernos, OpenSSL, Go y Java la aplican.
Trampas: las restricciones sobre nombres DNS no cubren automáticamente un nombre de host colocado solo en el commonName del sujeto, así que se puede engañar a los verificadores que todavía leen el CN, y las restricciones de IP necesitan tanto una dirección como una máscara.