Промежуточные сертификаты содержат basicConstraints со значением cA, равным true, часто также pathLenConstraint, использование ключа keyCertSign и cRLSign, а по действующим правилам корневых программ ещё и расширенное использование ключа, которое ограничивает их одним назначением. Например, корневая программа Chrome требует, чтобы новые подчинённые CA для TLS указывали только id-kp-serverAuth.
Промежуточные сертификаты должен отправлять сам сервер, поэтому именно их чаще всего не хватает при развёртывании TLS. Они меняются чаще корневых: в 2026 году Let's Encrypt заменил промежуточные сертификаты R10–R14 и E5–E9 сериями YR и YE, и сервер с жёстко прописанной старой цепочкой после этого отдаёт неверную.
Если промежуточный сертификат скомпрометирован или выпущен ошибочно, его отзывают через CRL родительского CA и через списки блокировки, которые рассылают сами браузеры (OneCRL у Mozilla, CRLSets у Chrome): это быстрее, чем ждать, пока каждый клиент загрузит CRL.