CA は階層構造を運用します。オフラインのルート鍵、HSM に格納した 1 つ以上のオンラインの中間鍵、そしてそれらを取り巻く検証、発行、失効（CRL と、任意で OCSP）、ログ記録のシステムです。CA の規則は、証明書ポリシーと認証実務規程（RFC 3647 の形式）に記述され、年次監査（WebTrust または ETSI）で確認されます。
公的に信頼される CA とは、ルートがブラウザーやオペレーティングシステムのルートストア（Mozilla、Chrome、Apple、Microsoft）に含まれている CA です。こうした CA は、CA/Browser Forum の Baseline Requirements と各ルートプログラムのポリシーに従い、すべての TLS 証明書を Certificate Transparency に記録し、インシデントには公開の場で対応しなければなりません。ルートプログラムは、基準を満たせなかった CA を除外します。2011年の DigiNotar、2016〜2017年の WoSign と StartCom、2017〜2018年の Symantec の PKI、そして Entrust の TLS ルートがその例です。Chrome 131 は、最も早い SCT の日付が 2024年11月11日より後の証明書について、Entrust の TLS ルートを信頼しなくなりました。
プライベート CA（内部サービス、mTLS、デバイス、VPN 向け）は、ルートがインストールされた環境でのみ信頼され、公的な有効期間の上限には縛られません。運用には step-ca、Vault PKI、AWS Private CA、OpenSSL の ca コマンドなどのツールが使われます。