中间 CA 证书带有 basicConstraints 扩展，其中 cA 设为 true，通常还有 pathLenConstraint；密钥用法为 keyCertSign 和 cRLSign；按照现行根证书计划的规则，还带有把它限制在单一用途上的扩展密钥用法。例如，Chrome 根证书计划要求用于 TLS 的新从属 CA 只声明 id-kp-serverAuth。
中间证书必须由服务器发送，因此它是 TLS 部署中最常缺失的部分。中间证书的轮换比根证书更频繁：Let's Encrypt 在2026年用 YR 和 YE 系列替换了 R10–R14 和 E5–E9 中间证书，此时硬编码了旧证书链的服务器就会发送错误的证书链。
中间证书被攻破或误签发时，处理方式是在上级 CA 的 CRL 中吊销它，并借助浏览器推送的阻止列表（Mozilla 的 OneCRL、Chrome 的 CRLSets），这比等待每个客户端获取 CRL 更快。