Uma CA opera uma hierarquia: uma chave raiz offline, uma ou mais chaves intermediárias online em HSMs e, em torno delas, os sistemas de validação, emissão, revogação (CRL e, opcionalmente, OCSP) e registro em log. Suas regras ficam em uma política de certificado e em uma declaração de práticas de certificação (no formato da RFC 3647) e são verificadas por auditorias anuais (WebTrust ou ETSI).
As CAs publicamente confiáveis são aquelas cujas raízes estão nos root stores dos navegadores e dos sistemas operacionais (Mozilla, Chrome, Apple, Microsoft). Elas devem seguir os Baseline Requirements do CA/Browser Forum e a política de cada programa de raiz, publicar todos os certificados TLS no Certificate Transparency e responder publicamente a incidentes. Os programas de raiz removem as CAs que falham: a DigiNotar em 2011, a WoSign e a StartCom entre 2016 e 2017, a PKI da Symantec entre 2017 e 2018 e as raízes TLS da Entrust, nas quais o Chrome 131 deixou de confiar para certificados cujo SCT mais antigo tem data posterior a 11 de novembro de 2024.
As CAs privadas (para serviços internos, mTLS, dispositivos, VPNs) só são confiáveis onde a raiz delas está instalada e não estão sujeitas aos limites de vida útil dos certificados públicos; ferramentas como step-ca, Vault PKI, AWS Private CA e o comando ca do OpenSSL servem para operá-las.