Uma autoridade certificadora emite certificados digitais que ligam uma chave pública a uma identidade. Quando visita um website através de HTTPS, o seu navegador verifica o certificado do website numa lista de autoridades certificadoras fidedignas. Se o certificado tiver sido assinado por uma autoridade certificadora fidedigna e o domínio corresponder, o browser apresenta um cadeado. Caso contrário, recebe um aviso. A autoridade certificadora é a âncora da confiança. Se esta âncora for quebrada, todo o sistema falha.

As Autoridades Certificadoras (ACs) verificam a identidade antes de emitir os certificados. A validação de domínio confirma o controlo de um domínio. A validação organizacional verifica se a empresa existe. A validação alargada acrescenta uma revisão mais completa, embora os navegadores tenham reduzido o seu destaque visual. A verificação não é perfeita. A DigiNotar foi comprometida em 2011 e emitiu certificados fraudulentos para domínios Google. A empresa faliu. A Symantec emitiu certificados indevidamente durante anos, antes de os navegadores começarem a desconfiar dela. O sistema sobreviveu porque existem várias AC e os browsers podem revogar a confiança. Os registos de transparência dos certificados registam agora publicamente todos os certificados emitidos, pelo que a emissão indevida é detectada mais rapidamente. O modelo de confiança é centralizado e frágil, mas revelou-se mais resistente do que a maioria das alternativas.

Níveis de validação de certificados

• Validação do domínio — comprova o controlo do domínio.
• Validação da organização — confirma a existência da empresa.
• Validação alargada — verificação de identidade completa
• Transparência de certificados — registos públicos de certificados emitidos

Quando um browser emite um aviso sobre um certificado, preste atenção. Geralmente significa que algo está errado.