証明（certification）とは、ある鍵が別の鍵のユーザー ID に対して行う署名で、本人確認を経て行われます（伝統的にはキーサイニングパーティーで）。GnuPG は、これらの証明と、ユーザーが証明者に割り当てた所有者信頼（owner trust）から鍵の有効性を計算します。TOFU（trust on first use、初回利用時の信頼）モデルも提供しており、ユーザーがローカルで署名した鍵は有効なものとして扱います。
実際には、信頼の輪は Debian の開発者や Linux カーネルなどのコミュニティ内では機能していますが、規模の拡大に弱く、人のつながり（ソーシャルグラフ）を露出させてしまいます。証明を配布していた公開の SKS 鍵サーバーネットワークは、2019年に、鍵に数万件もの偽の署名を付加する証明書フラッディング攻撃によって機能不全に陥り、その後運用を停止しました。keys.openpgp.org は、メールアドレスの検証を経た後でのみ ID を公開し、第三者による証明をデフォルトで削除します。現在では多くのプロジェクトが、代わりに OpenPGP 鍵とフィンガープリントのピンニング、WKD、透明性ログを組み合わせています。