Urząd certyfikacji wydaje certyfikaty cyfrowe, które wiążą klucz publiczny z tożsamością. Gdy odwiedzasz stronę internetową przez protokół HTTPS, Twoja przeglądarka sprawdza certyfikat witryny pod kątem listy zaufanych urzędów certyfikacji. Jeśli certyfikat został podpisany przez zaufany urząd certyfikacji i domena jest zgodna, przeglądarka wyświetla kłódkę. W przeciwnym razie pojawia się ostrzeżenie. Urząd certyfikacji jest punktem odniesienia. Złamanie go oznacza awarię całego systemu.

Urzędy certyfikacji weryfikują tożsamość przed wydaniem certyfikatu. Walidacja domeny potwierdza kontrolę nad domeną. Walidacja organizacji sprawdza, czy firma istnieje. Rozszerzona walidacja zapewnia dokładniejszą weryfikację, choć przeglądarki ograniczyły jej widoczność. Weryfikacja nie jest idealna. Firma DigiNotar padła ofiarą ataku w 2011 roku i wydała fałszywe certyfikaty dla domen Google. Firma zbankrutowała. Symantec przez lata nieprawidłowo wydawał certyfikaty, zanim przeglądarki przestały mu ufać. System przetrwał dzięki istnieniu wielu urzędów certyfikacji, a przeglądarki mogą unieważnić zaufanie. Dzienniki przejrzystości certyfikatów rejestrują teraz każdy wydany certyfikat publicznie, dzięki czemu nieprawidłowe wydanie jest szybciej wykrywane. Model zaufania jest scentralizowany i niestabilny, ale sprawdził się lepiej niż większość alternatywnych rozwiązań.

Poziomy walidacji certyfikatu

• Walidacja domeny — potwierdza kontrolę nad domeną
• Walidacja organizacji — potwierdza istnienie firmy
• Rozszerzona walidacja — dokładna kontrola tożsamości
• Przejrzystość certyfikatów — publiczne logi wydanych certyfikatów

Gdy przeglądarka ostrzega o certyfikacie, zwróć na to uwagę. Zazwyczaj oznacza to, że coś jest nie tak.