Um certificado só é tão confiável quanto o caminho que o liga a uma âncora de confiança que o verificador já possui. Verificá-lo significa conferir a assinatura do emissor, o período de validade, o nome que o cliente de fato queria (o subjectAltName, no TLS), os usos permitidos, o status de revogação e cada certificado até uma raiz confiável (RFC 5280 §6).
Os certificados TLS publicamente confiáveis são emitidos segundo os Baseline Requirements do CA/Browser Forum: a CA emissora valida o controle de cada domínio, registra o certificado no Certificate Transparency e limita sua vida útil. Pela votação SC-081v3, a vida útil máxima caiu de 398 para 200 dias para certificados emitidos a partir de 15 de março de 2026, e cai para 100 dias a partir de 15 de março de 2027 e para 47 dias a partir de 15 de março de 2029.
Existem outros formatos de certificado: os certificados OpenSSH (um formato mais simples de chave assinada), as chaves OpenPGP assinadas por outras chaves, os certificados verificáveis por cartão (card-verifiable certificates) dos passaportes eletrônicos (ePassports) e os certificados em árvore de Merkle (Merkle Tree Certificates), em desenvolvimento para o TLS pós-quântico. “Certificado”, sozinho, no contexto de TLS ou de navegadores, significa X.509.