CA 运营一套层级结构：离线保存的根密钥、存放在 HSM 中的一个或多个在线中间密钥，以及围绕它们的验证、签发、吊销（CRL，以及可选的 OCSP）和日志系统。CA 的规则写在证书策略和认证业务声明（RFC 3647 格式）中，并通过年度审计（WebTrust 或 ETSI）检查。
公开受信任的 CA 是指根证书被收录在浏览器和操作系统根证书库（Mozilla、Chrome、Apple、Microsoft）中的 CA。它们必须遵守 CA/Browser Forum 的《基线要求》和各根证书计划的策略，把所有 TLS 证书提交到证书透明度日志，并公开处理事件。不合格的 CA 会被根证书计划移除：2011年的 DigiNotar，2016～2017年的 WoSign 和 StartCom，2017～2018年的 Symantec PKI，以及 Entrust 的 TLS 根证书——对于最早的 SCT 日期晚于2024年11月11日的证书，Chrome 131 不再信任这些根证书。
私有 CA（用于内部服务、mTLS、设备和 VPN）只在安装了其根证书的地方受信任，也不受公共证书有效期上限的约束；step-ca、Vault PKI、AWS Private CA 和 OpenSSL 的 ca 命令等工具可以用来运行私有 CA。