证书颁发机构 (CA) 颁发数字证书，将公钥与身份绑定。当您通过 HTTPS 访问网站时，浏览器会将该网站的证书与受信任的 CA 列表进行比对。如果该证书由受信任的 CA 签名且域名匹配，浏览器会显示一个挂锁图标。否则，您会收到警告。CA 是信任的基石。一旦信任关系破裂，整个系统就会崩溃。

证书颁发机构 (CA) 在颁发证书前会验证身份。域名验证确认对域名的控制权。组织验证检查公司是否存在。扩展验证增加了更全面的审查，尽管浏览器已降低了其视觉显著性。验证并非完美无缺。DigiNotar 在 2011 年遭到攻击，并为 Google 域名颁发了欺诈性证书。该公司最终破产。赛门铁克 (Symantec) 在浏览器对其失去信任之前，曾错误颁发证书多年。该系统之所以能够幸存，是因为存在多个 CA，并且浏览器可以撤销信任。证书透明度日志现在会公开记录每个已颁发的证书，因此可以更快地发现错误颁发的情况。信任模型是集中式的且较为脆弱，但它比大多数其他方案都要可靠。

证书验证级别

• 域名验证——证明对域名的控制权
• 组织机构验证——确认公司存在
• 扩展验证——彻底的身份核查
• 证书透明度——已颁发证书的公开日志

当浏览器发出证书警告时，请务必注意。这通常意味着出现了问题。