Un certificat n’est digne de confiance que dans la mesure où le chemin qui le relie à une ancre de confiance déjà détenue par le vérificateur l’est aussi. Le vérifier, c’est contrôler la signature de l’émetteur, la fenêtre de validité, le nom réellement demandé par le client (le subjectAltName pour TLS), les usages autorisés, le statut de révocation et chaque certificat jusqu’à une racine de confiance (RFC 5280 §6).
Les certificats TLS de confiance publique sont émis selon les Baseline Requirements du CA/Browser Forum : l’AC émettrice valide le contrôle de chaque domaine, journalise le certificat dans Certificate Transparency et limite sa durée de vie. Avec le vote SC-081v3, la durée de vie maximale est passée de 398 à 200 jours pour les certificats émis à partir du 15 mars 2026, et elle descend à 100 jours à partir du 15 mars 2027, puis à 47 jours à partir du 15 mars 2029.
Il existe d’autres formats de certificats : les certificats OpenSSH (un format de clé signée plus simple), les clés OpenPGP signées par d’autres clés, les certificats vérifiables par carte des passeports électroniques (ePassports) et les Merkle Tree Certificates en cours de conception pour le TLS post-quantique. Dans un contexte TLS ou navigateur, « certificat » employé seul désigne un certificat X.509.