En certifikatutfärdare utfärdar digitala certifikat som binder en offentlig nyckel till en identitet. När du besöker en webbplats via HTTPS kontrollerar din webbläsare webbplatsens certifikat mot en lista över betrodda certifikatutfärdare. Om en betrodd certifikatutfärdare signerade det och domänen matchar visar webbläsaren ett hänglås. Om inte får du en varning. certifikatutfärdaren är förtroendeankaret. Om du bryter det kollapsar hela systemet.

CA:er verifierar identitet innan de utfärdar. Domänvalidering bekräftar kontrollen över en domän. Organisationsvalidering kontrollerar att företaget existerar. Utökad validering ger en mer grundlig granskning, även om webbläsare har minskat dess visuella framträdande. Verifieringen är inte perfekt. DigiNotar komprometterades 2011 och utfärdade bedrägliga certifikat för Google-domäner. Företaget gick i konkurs. Symantec utfärdade certifikat felaktigt i åratal innan webbläsare misstrodde det. Systemet överlevde eftersom det finns flera CA:er och webbläsare kan återkalla förtroendet. Certifikattransparensloggar registrerar nu varje utfärdat certifikat offentligt, så felaktig utfärdande upptäcks snabbare. Förtroendemodellen är centraliserad och ömtålig, men den har hållit sig bättre än de flesta alternativ.

Certifikatvalideringsnivåer

• Domänvalidering — bevisar kontroll över domänen
• Organisationsvalidering — bekräftar att företaget existerar
• Utökad validering — grundlig identitetskontroll
• Certifikattransparens — offentliga loggar över utfärdade certifikat

När en webbläsare varnar om ett certifikat, var uppmärksam. Det betyder oftast att något är fel.