Une AC exploite une hiérarchie : une clé racine hors ligne, une ou plusieurs clés intermédiaires en ligne dans des HSM et, autour d’elles, les systèmes de validation, d’émission, de révocation (CRL et, en option, OCSP) et de journalisation. Ses règles sont consignées dans une politique de certification et une déclaration des pratiques de certification (au format de la RFC 3647) et contrôlées par des audits annuels (WebTrust ou ETSI).
Les AC de confiance publique sont celles dont les racines figurent dans les magasins de certificats racines des navigateurs et des systèmes d’exploitation (Mozilla, Chrome, Apple, Microsoft). Elles doivent respecter les Baseline Requirements du CA/Browser Forum et la politique de chaque programme de certificats racines, publier tous leurs certificats TLS dans Certificate Transparency et répondre publiquement aux incidents. Les programmes de certificats racines retirent les AC qui manquent à ces obligations : DigiNotar en 2011, WoSign et StartCom entre 2016 et 2017, la PKI de Symantec entre 2017 et 2018 et les racines TLS d’Entrust, auxquelles Chrome 131 a cessé de faire confiance pour les certificats dont le SCT le plus ancien est daté d’après le 11 novembre 2024.
Les AC privées (pour les services internes, mTLS, les appareils, les VPN) ne sont reconnues que là où leur racine est installée et ne sont pas soumises aux limites de durée de vie des certificats publics ; des outils comme step-ca, Vault PKI, AWS Private CA et la commande ca d’OpenSSL servent à les exploiter.