Сертификация — это подпись одного ключа над идентификатором пользователя (user ID) другого ключа, которую ставят после проверки личности (по традиции на встречах для подписания ключей, key-signing parties). GnuPG вычисляет действительность ключей по этим сертификациям и по уровню доверия (owner trust), который пользователь назначает сертифицирующим; кроме того, GnuPG поддерживает модели TOFU (trust on first use, доверие при первом использовании) и считает действительными ключи, которые пользователь подписал локально.
На практике сеть доверия работает внутри сообществ, например среди разработчиков Debian и ядра Linux, но плохо масштабируется и раскрывает социальные связи. Публичную сеть серверов ключей SKS, которая распространяла сертификации, в 2019 году вывели из строя атаки с заполнением сертификатов (certificate flooding): к ключам прикрепляли десятки тысяч фиктивных подписей, и с тех пор сеть закрыта. Сервер keys.openpgp.org публикует идентификаторы пользователей только после проверки адреса электронной почты и по умолчанию отбрасывает сертификации третьих сторон. Вместо этого многие проекты теперь сочетают ключи OpenPGP с закреплением отпечатков, WKD или журналами прозрачности.