Một tổ chức cấp chứng chỉ (CA) phát hành các chứng chỉ số liên kết khóa công khai với một định danh. Khi bạn truy cập một trang web qua HTTPS, trình duyệt của bạn sẽ kiểm tra chứng chỉ của trang web đó so với danh sách các CA đáng tin cậy. Nếu chứng chỉ được ký bởi một CA đáng tin cậy và tên miền khớp, trình duyệt sẽ hiển thị biểu tượng khóa. Nếu không, bạn sẽ nhận được cảnh báo. CA là điểm neo tin cậy. Nếu điểm neo này bị phá vỡ, toàn bộ hệ thống sẽ thất bại.

Các CA (Cơ quan cấp chứng chỉ) xác minh danh tính trước khi cấp. Xác thực tên miền xác nhận quyền kiểm soát tên miền. Xác thực tổ chức kiểm tra xem công ty có tồn tại hay không. Xác thực mở rộng bổ sung thêm một bước xem xét kỹ lưỡng hơn, mặc dù các trình duyệt đã giảm bớt sự nổi bật trực quan của nó. Quá trình xác minh không hoàn hảo. DigiNotar đã bị xâm phạm vào năm 2011 và cấp chứng chỉ giả mạo cho các tên miền của Google. Công ty này đã phá sản. Symantec đã cấp sai chứng chỉ trong nhiều năm trước khi các trình duyệt không tin tưởng nó. Hệ thống này tồn tại được là nhờ có nhiều CA và các trình duyệt có thể thu hồi sự tin tưởng. Nhật ký minh bạch chứng chỉ hiện ghi lại công khai mọi chứng chỉ đã cấp, do đó việc cấp sai được phát hiện nhanh hơn. Mô hình tin cậy này tập trung và dễ bị tổn thương, nhưng nó đã trụ vững tốt hơn hầu hết các giải pháp thay thế khác.

Mức độ xác thực chứng chỉ

• Xác thực tên miền — chứng minh quyền kiểm soát tên miền.
• Xác thực tổ chức — xác nhận sự tồn tại của công ty
• Xác thực mở rộng — kiểm tra danh tính kỹ lưỡng
• Tính minh bạch của chứng chỉ — nhật ký công khai về các chứng chỉ đã cấp.

Khi trình duyệt cảnh báo về chứng chỉ, hãy chú ý. Điều đó thường có nghĩa là có vấn đề gì đó.