Сертификат заслуживает доверия ровно настолько, насколько надёжен путь от него до якоря доверия, который уже есть у проверяющей стороны. Проверить сертификат — значит проверить подпись издателя, срок действия, имя, которое на самом деле нужно клиенту (для TLS — subjectAltName), разрешённые способы использования, статус отзыва и каждый сертификат вплоть до доверенного корневого (RFC 5280, § 6).
Публично доверенные TLS-сертификаты выпускаются по Базовым требованиям (Baseline Requirements) CA/Browser Forum: выпускающий CA проверяет контроль над каждым доменом, регистрирует сертификат в журналах Certificate Transparency и ограничивает срок его действия. По бюллетеню SC-081v3 максимальный срок действия сертификатов, выпущенных с 15 марта 2026 года, сократился с 398 до 200 дней, с 15 марта 2027 года он снизится до 100 дней, а с 15 марта 2029 года — до 47 дней.
Существуют и другие форматы сертификатов: сертификаты OpenSSH (более простой формат подписанного ключа), ключи OpenPGP, подписанные другими ключами, проверяемые картой сертификаты (card-verifiable certificates) электронных паспортов (ePassports) и разрабатываемые для постквантового TLS сертификаты на основе деревьев Меркла (Merkle Tree Certificates). Слово «сертификат» без уточнений в контексте TLS или браузера означает X.509.