Uma CA intermediária restrita com permittedSubtrees de dNSName: example.com só pode emitir para example.com e seus subdomínios; acrescentar uma subárvore excluída remove nomes específicos. Os verificadores aplicam as restrições a todos os certificados abaixo da CA durante a validação de caminho (RFC 5280 §6.1.3).
É a forma segura de delegar a emissão: uma organização pode receber uma CA intermediária tecnicamente restrita para os próprios domínios, e o CA/Browser Forum trata essas sub-CAs de forma diferente nos requisitos de auditoria. O suporte já foi irregular (alguns clientes ignoravam a extensão ou falhavam diante de restrições de nome críticas), mas os navegadores modernos, o OpenSSL, o Go e o Java a aplicam.
Armadilhas: as restrições sobre nomes DNS não cobrem automaticamente um nome de host colocado apenas no commonName do titular, então verificadores que ainda leem o CN podem ser enganados; e as restrições de IP exigem tanto um endereço quanto uma máscara.