Une AC intermédiaire contrainte dont les permittedSubtrees comprennent dNSName: example.com ne peut émettre que pour example.com et ses sous-domaines ; ajouter un sous-arbre exclu retire des noms précis. Les vérificateurs appliquent les contraintes à chaque certificat situé sous l’AC lors de la validation du chemin (RFC 5280 §6.1.3).
C’est la manière sûre de déléguer l’émission : une organisation peut recevoir une AC intermédiaire techniquement contrainte pour ses propres domaines, et le CA/Browser Forum traite ces sous-AC différemment dans ses exigences d’audit. La prise en charge a longtemps été inégale (certains clients ignoraient l’extension ou échouaient sur des contraintes de noms critiques), mais les navigateurs modernes, OpenSSL, Go et Java l’appliquent.
Pièges : les contraintes sur les noms DNS ne couvrent pas automatiquement un nom d’hôte placé uniquement dans le commonName du sujet, si bien que les vérificateurs qui lisent encore le CN peuvent être trompés, et les contraintes IP exigent à la fois une adresse et un masque.