Otoritas sertifikasi menerbitkan sertifikat digital yang mengikat kunci publik ke suatu identitas. Saat Anda mengunjungi situs web melalui HTTPS, peramban Anda memeriksa sertifikat situs tersebut terhadap daftar CA tepercaya. Jika sertifikat tersebut ditandatangani oleh CA tepercaya dan domainnya cocok, peramban akan menampilkan ikon gembok. Jika tidak, Anda akan mendapatkan peringatan. CA adalah jangkar kepercayaan. Jika kepercayaan tersebut dilanggar, seluruh sistem akan gagal.

CA (Certificate Authority) memverifikasi identitas sebelum menerbitkan sertifikat. Validasi domain mengkonfirmasi kendali atas suatu domain. Validasi organisasi memeriksa keberadaan perusahaan. Validasi yang diperluas menambahkan tinjauan yang lebih menyeluruh, meskipun browser telah mengurangi visibilitasnya. Verifikasi ini tidak sempurna. DigiNotar diretas pada tahun 2011 dan menerbitkan sertifikat palsu untuk domain Google. Perusahaan tersebut bangkrut. Symantec menerbitkan sertifikat yang salah selama bertahun-tahun sebelum browser tidak mempercayainya. Sistem ini bertahan karena terdapat banyak CA dan browser dapat mencabut kepercayaan. Log transparansi sertifikat sekarang mencatat setiap sertifikat yang diterbitkan secara publik, sehingga penerbitan yang salah dapat terdeteksi lebih cepat. Model kepercayaan ini terpusat dan rapuh, tetapi telah bertahan lebih baik daripada sebagian besar alternatif lainnya.

Tingkat validasi sertifikat

• Validasi domain — membuktikan kendali atas domain tersebut
• Validasi organisasi — mengkonfirmasi keberadaan perusahaan.
• Validasi diperpanjang — pemeriksaan identitas menyeluruh
• Transparansi sertifikat — catatan publik sertifikat yang diterbitkan

Saat peramban memberikan peringatan tentang sertifikat, perhatikanlah. Biasanya itu berarti ada sesuatu yang salah.