Uma certificação é uma assinatura feita por uma chave sobre o ID de usuário de outra chave, depois de conferida a identidade (tradicionalmente, em festas de assinatura de chaves, as key-signing parties). O GnuPG calcula a validade a partir dessas certificações e da confiança no dono (owner trust) que o usuário atribui a quem certifica; ele também oferece modelos TOFU (trust on first use, confiança no primeiro uso) e trata como válidas as chaves que o usuário assinou localmente.
Na prática, a rede de confiança funciona dentro de comunidades como os desenvolvedores do Debian e do kernel Linux, mas escala mal e expõe grafos sociais; a rede pública de servidores de chaves SKS, que distribuía certificações, foi paralisada em 2019 por ataques de inundação de certificados (certificate flooding), que anexaram dezenas de milhares de assinaturas falsas a chaves, e desde então foi desativada. O keys.openpgp.org publica identidades só depois da verificação do e-mail e descarta, por padrão, certificações de terceiros. Em vez disso, muitos projetos agora combinam as chaves OpenPGP com fixação de impressões digitais, WKD ou logs de transparência.