CA 証明書はこの拡張を必ず含み、クリティカルとしてマークし、cA を true に設定しなければなりません（RFC 5280 §4.2.1.9）。エンドエンティティ証明書は、この拡張を省略するか cA を false に設定します。pathLenConstraint: 0 は、その CA がエンドエンティティ証明書しか発行できないことを意味します。
この拡張を無視していた検証者では、どのリーフ証明書でも CA として振る舞えてしまいました。2002年に Moxie Marlinspike が公開した sslsniff は、Internet Explorer が通常のサイト証明書で署名された証明書を受け入れることを示しました。同種のバグはその後も組み込み向けの TLS スタックで繰り返し見つかっています。リソースの限られたデバイス向けに TLS ライブラリを選ぶときに確認すべき項目の 1 つです。