Een certificeringsinstantie (CA) geeft digitale certificaten uit die een publieke sleutel aan een identiteit koppelen. Wanneer u een website bezoekt via HTTPS, controleert uw browser het certificaat van de site aan de hand van een lijst met vertrouwde CA's. Als een vertrouwde CA het certificaat heeft ondertekend en het domein overeenkomt, toont de browser een hangslotje. Zo niet, dan krijgt u een waarschuwing. De CA is het vertrouwensanker. Als dit anker wordt verbroken, valt het hele systeem uit elkaar.

Certificeringsinstanties (CA's) verifiëren de identiteit voordat ze certificaten uitgeven. Domeinvalidatie bevestigt de controle over een domein. Organisatievalidatie controleert of het bedrijf bestaat. Uitgebreide validatie voegt een grondigere controle toe, hoewel browsers de visuele prominentie ervan hebben verminderd. De verificatie is niet perfect. DigiNotar werd in 2011 gehackt en gaf frauduleuze certificaten uit voor Google-domeinen. Het bedrijf ging failliet. Symantec gaf jarenlang onjuiste certificaten uit voordat browsers het bedrijf wantrouwden. Het systeem overleefde omdat er meerdere CA's bestaan ​​en browsers het vertrouwen kunnen intrekken. Certificaattransparantielogboeken registreren nu elk uitgegeven certificaat openbaar, waardoor onjuiste uitgifte sneller wordt ontdekt. ​​Het vertrouwensmodel is gecentraliseerd en kwetsbaar, maar het heeft het beter volgehouden dan de meeste alternatieven.

Validatieniveaus van certificaten

• Domeinvalidatie — bewijst controle over het domein
• Organisatievalidatie — bevestigt dat het bedrijf bestaat
• Uitgebreide validatie — grondige identiteitscontrole
• Certificaattransparantie — openbare logboeken van uitgegeven certificaten

Als een browser een waarschuwing geeft over een certificaat, let dan goed op. Meestal betekent dit dat er iets mis is.