Chứng chỉ số chứng minh rằng khóa công khai thuộc về một thực thể cụ thể. Nó chứa khóa công khai, danh tính của chủ sở hữu, thời hạn hiệu lực và chữ ký số của tổ chức cấp chứng chỉ. Khi trình duyệt của bạn kết nối với một trang web, máy chủ sẽ hiển thị chứng chỉ của nó. Trình duyệt kiểm tra chữ ký so với danh sách các tổ chức cấp chứng chỉ đáng tin cậy. Nếu chữ ký hợp lệ và tên miền khớp, kết nối sẽ được tiếp tục. Nếu không, trình duyệt sẽ cảnh báo bạn.

Chứng chỉ sử dụng tiêu chuẩn X.509. Chúng được dùng cho HTTPS, mã hóa email, ký mã và xác thực máy khách. Bản thân chứng chỉ không phải là bí mật. Nó được thiết kế để công khai. Tính bảo mật đến từ chữ ký của CA (Tổ chức cấp chứng chỉ), rất khó làm giả. Chứng chỉ có thời hạn sử dụng. Thời hạn ngắn giúp hạn chế thiệt hại nếu khóa riêng bị xâm phạm. Let's Encrypt cấp chứng chỉ miễn phí có hiệu lực trong 90 ngày và tự động gia hạn. Sự tự động hóa đó đã thúc đẩy việc áp dụng HTTPS từ khoảng một nửa lưu lượng truy cập web lên hơn 90%. Hệ thống hoạt động hiệu quả khi nó dễ sử dụng. Khi không dễ, mọi người sẽ bỏ qua nó.

Nội dung chứng chỉ

• Khóa công khai — khóa đang được chứng nhận
• Chủ thể — danh tính của chủ sở hữu
• Bên phát hành — cơ quan cấp chứng chỉ
• Thời hạn hiệu lực — ngày bắt đầu và ngày hết hạn
• Chữ ký — sự xác nhận bằng mật mã của CA

Giấy chứng nhận là "hộ chiếu" cho khóa công khai. Nó ghi rõ khóa thuộc về ai và ai là người bảo lãnh cho quyền sở hữu đó.