Para cada certificado, desde el ancla hacia abajo, un validador comprueba que la firma se verifica con la clave del emisor, que la hora actual está entre notBefore y notAfter, que el nombre del emisor coincide con el sujeto anterior, que el certificado no está revocado, que basicConstraints y el uso de clave permiten firmar certificados, que se respetan las restricciones de nombres y que se entiende cada extensión crítica. El procesamiento de políticas añade comprobaciones de políticas de certificado que pocas aplicaciones usan. Después, la aplicación comprueba el certificado de entidad final frente al nombre con el que pretendía conectar (RFC 9525) y el uso extendido de clave requerido.
Primero viene la construcción de la ruta: con firmas cruzadas y varios certificados intermedios, el cliente debe buscar cualquier ruta que termine en una raíz de confianza, y no todas las bibliotecas buscan igual de bien. Muchos fallos de TLS que aparecen con unas bibliotecas y no con otras son fallos de construcción de la ruta, no de validación.
Usa el verificador de la plataforma o una biblioteca mantenida en lugar de comprobaciones escritas a mano: la falta de una comprobación de restricciones básicas o de EKU ha sido la causa raíz de muchas falsificaciones de certificados.