CA поддерживает иерархию: корневой ключ, хранящийся офлайн, один или несколько промежуточных ключей, работающих онлайн в HSM, а вокруг них — системы проверки, выпуска, отзыва (CRL и, при необходимости, OCSP) и журналирования. Его правила изложены в политике сертификатов и положении о практике сертификации (в формате RFC 3647), а их соблюдение проверяют ежегодные аудиты (WebTrust или ETSI).
Публично доверенные CA — это центры, корневые сертификаты которых входят в хранилища корневых сертификатов браузеров и операционных систем (Mozilla, Chrome, Apple, Microsoft). Они обязаны соблюдать Базовые требования (Baseline Requirements) CA/Browser Forum и политику каждой программы корневых сертификатов, публиковать все TLS-сертификаты в Certificate Transparency и публично реагировать на инциденты. Программы корневых сертификатов исключают CA, которые не выполняют требования: DigiNotar в 2011 году, WoSign и StartCom в 2016–2017 годах, PKI компании Symantec в 2017–2018 годах и корневые сертификаты TLS компании Entrust, которым Chrome 131 перестал доверять для сертификатов, самая ранняя SCT которых датирована позднее 11 ноября 2024 года.
Частным CA (для внутренних сервисов, mTLS, устройств, VPN) доверяют только там, где установлен их корневой сертификат, а ограничения срока действия для публичных сертификатов на них не распространяются; такие CA работают на инструментах вроде step-ca, Vault PKI, AWS Private CA и команды OpenSSL ca.