CA 证书必须包含该扩展并将其标记为关键扩展，同时把 cA 设为 true（RFC 5280 §4.2.1.9）；终端实体证书要么省略它，要么把 cA 设为 false。pathLenConstraint: 0 表示该 CA 只能签发终端实体证书。
忽略这一扩展的验证器会让任何叶子证书充当 CA：Moxie Marlinspike 于2002年发布的 sslsniff 表明，Internet Explorer 会接受由普通网站证书签名的证书；此后，同类缺陷又在嵌入式 TLS 协议栈中多次出现。为资源受限设备选择 TLS 库时，这是需要确认的检查项之一。