Una certificación es una firma de una clave sobre el ID de usuario de otra clave, hecha tras comprobar la identidad (tradicionalmente en fiestas de firma de claves). GnuPG calcula la validez a partir de estas certificaciones y de la confianza en el propietario (owner trust) que un usuario asigna a los certificadores; también ofrece modelos TOFU (confianza en el primer uso) y trata como válidas las claves que un usuario ha firmado localmente.
En la práctica, la red de confianza funciona dentro de comunidades como los desarrolladores de Debian y del kernel de Linux, pero escala mal y expone los grafos sociales; la red pública de servidores de claves SKS, que distribuía las certificaciones, quedó inutilizada en 2019 por ataques de inundación de certificados que añadían decenas de miles de firmas falsas a las claves, y desde entonces ha cerrado. keys.openpgp.org publica las identidades solo tras verificar el correo electrónico y descarta por defecto las certificaciones de terceros. Muchos proyectos combinan ahora las claves OpenPGP con la fijación de huellas digitales, WKD o registros de transparencia.