Een digitaal certificaat bewijst dat een publieke sleutel toebehoort aan een specifieke entiteit. Het bevat de publieke sleutel, de identiteit van de eigenaar, de geldigheidsperiode en de digitale handtekening van een certificeringsinstantie. Wanneer uw browser verbinding maakt met een website, presenteert de server zijn certificaat. De browser controleert de handtekening aan de hand van zijn lijst met vertrouwde certificeringsinstanties. Als de handtekening geldig is en het domein overeenkomt, wordt de verbinding tot stand gebracht. Zo niet, dan geeft de browser een waarschuwing.

Certificaten gebruiken de X.509-standaard. Ze worden gebruikt voor HTTPS, e-mailversleuteling, codeondertekening en clientauthenticatie. Het certificaat zelf is niet geheim. Het is per definitie openbaar. De beveiliging komt van de handtekening van de certificeringsinstantie (CA), die moeilijk te vervalsen is. Certificaten verlopen. Een korte geldigheidsduur beperkt de schade als een privésleutel wordt gecompromitteerd. Let's Encrypt geeft gratis certificaten uit die 90 dagen geldig zijn en zorgt voor automatische verlenging. Die automatisering heeft de adoptie van HTTPS in het webverkeer doen stijgen van ongeveer de helft naar meer dan 90 procent. Het systeem werkt wanneer het eenvoudig is. Wanneer het dat niet is, slaan mensen het over.

Inhoud van het certificaat

• Openbare sleutel — de sleutel die gecertificeerd wordt.
• Onderwerp — de identiteit van de eigenaar
• Uitgever — de certificeringsinstantie
• Geldigheidsperiode — begin- en einddatum
• Handtekening — de cryptografische goedkeuring van de CA

Een certificaat is het paspoort voor een publieke sleutel. Het vermeldt van wie de sleutel is en wie garant staat voor die bewering.