Une certification est une signature, par une clé, de l’ID utilisateur d’une autre clé, faite après vérification de l’identité (traditionnellement lors de séances de signature de clés, ou key-signing parties). GnuPG calcule la validité à partir de ces certifications et de la confiance (owner trust) qu’un utilisateur accorde aux certificateurs ; il propose aussi des modèles TOFU (trust on first use, confiance à la première utilisation) et considère comme valides les clés qu’un utilisateur a signées localement.
En pratique, la toile de confiance fonctionne au sein de communautés comme les développeurs Debian ou le noyau Linux, mais elle passe mal à l’échelle et expose les graphes sociaux ; le réseau public de serveurs de clés SKS, qui distribuait les certifications, a été paralysé en 2019 par des attaques par inondation de certificats qui attachaient des dizaines de milliers de fausses signatures à des clés, et il a depuis fermé. keys.openpgp.org ne publie les identités qu’après vérification de l’adresse e-mail et écarte par défaut les certifications de tiers. De nombreux projets associent désormais plutôt les clés OpenPGP à l’épinglage d’empreintes, à WKD ou à des journaux de transparence.