中間 CA の証明書には、cA が true に設定された basicConstraints、多くの場合は pathLenConstraint、鍵用途 keyCertSign と cRLSign、そして現在のルートプログラムの規則のもとでは、用途を 1 つに限定する拡張鍵用途が含まれます。たとえば Chrome のルートプログラムは、TLS に使う新しい下位 CA に対し、id-kp-serverAuth だけを指定することを求めています。
中間証明書はサーバーが送信しなければならないため、TLS の導入で最も欠落しやすい要素です。また、ルートよりも頻繁に入れ替わります。Let's Encrypt は 2026年に R10〜R14 と E5〜E9 の中間証明書を YR と YE のシリーズに置き換えており、古いチェーンをハードコードしたサーバーは、その時点で誤ったチェーンを送ることになります。
中間 CA の危殆化や誤発行には、上位の CA の CRL で失効させることと、ブラウザーが配信するブロックリスト（Mozilla の OneCRL、Chrome の CRLSets）で対処します。後者は、すべてのクライアントが CRL を取得するのを待つより迅速です。