认证是一个密钥对另一个密钥的用户 ID 所做的签名，在核实身份之后做出（传统上是在密钥签名聚会上完成）。GnuPG 根据这些认证以及用户赋予认证者的所有者信任（owner trust）计算有效性；它还提供 TOFU（首次使用即信任）模型，并把用户在本地签名过的密钥视为有效。
在实践中，信任网在 Debian 开发者和 Linux 内核等社区内部行之有效，但它难以扩展，还会暴露社交关系图；负责分发认证的公共 SKS 密钥服务器网络在2019年遭到证书泛洪攻击，攻击者给密钥附加了数以万计的伪造签名，该网络因此陷入瘫痪，此后已经关闭。keys.openpgp.org 只在电子邮件验证通过后才公布身份，并且默认丢弃第三方认证。如今许多项目改为把 OpenPGP 密钥与指纹固定、WKD 或透明日志结合使用。