En sertifiseringsinstans utsteder digitale sertifikater som binder en offentlig nøkkel til en identitet. Når du besøker et nettsted via HTTPS, sjekker nettleseren nettstedets sertifikat mot en liste over klarerte CA-er. Hvis en klarert CA signerte det og domenet samsvarer, viser nettleseren en hengelås. Hvis ikke, får du en advarsel. CA-en er tillitsankeret. Hvis den brytes, feiler hele systemet.

CA-er verifiserer identitet før utstedelse. Domenevalidering bekrefter kontroll over et domene. Organisasjonsvalidering kontrollerer at selskapet eksisterer. Utvidet validering legger til en grundigere gjennomgang, selv om nettlesere har redusert den visuelle fremtredenen. Verifiseringen er ikke perfekt. DigiNotar ble kompromittert i 2011 og utstedte falske sertifikater for Google-domener. Selskapet gikk konkurs. Symantec feilutstedte sertifikater i årevis før nettlesere mistrodde det. Systemet overlevde fordi det finnes flere CA-er, og nettlesere kan tilbakekalle tillit. Sertifikattransparenslogger registrerer nå hvert utstedte sertifikat offentlig, slik at feilutstedelse blir oppdaget raskere. Tillitsmodellen er sentralisert og skjør, men den har holdt seg bedre enn de fleste alternativer.

Sertifikatvalideringsnivåer

• Domenevalidering – beviser kontroll over domenet
• Organisasjonsvalidering – bekrefter at selskapet eksisterer
• Utvidet validering – grundig identitetskontroll
• Sertifikattransparens – offentlige logger over utstedte sertifikater

Når en nettleser advarer om et sertifikat, vær oppmerksom. Det betyr vanligvis at noe er galt.