憑證授權單位 (CA) 會發出數位證書，將公鑰與身分綁定。當您透過 HTTPS 造訪網站時，瀏覽器會將該網站的憑證與受信任的 CA 清單進行比對。如果該憑證由受信任的 CA 簽署且網域名稱匹配，瀏覽器會顯示掛鎖圖示。否則，您會收到警告。 CA 是信任的基石。一旦信任關係破裂，整個系統就會崩潰。

憑證授權單位 (CA) 在頒發憑證前會驗證身分。域名驗證確認對域名的控制權。組織驗證檢查公司是否存在。擴展驗證增加了更全面的審查，儘管瀏覽器已降低了其視覺顯著性。驗證並非完美無缺。 DigiNotar 在 2011 年遭到攻擊，並為 Google 網域頒發了詐欺性憑證。該公司最終破產。賽門鐵克 (Symantec) 在瀏覽器對其失去信任之前，曾錯誤頒發證書多年。該系統之所以能夠倖存，是因為存在多個 CA，並且瀏覽器可以撤銷信任。證書透明度日誌現在會公開記錄每個已頒發的證書，因此可以更快地發現錯誤頒發的情況。信任模型是集中式的且較為脆弱，但它比大多數其他方案都更可靠。

證書驗證級別

• 域名驗證－證明對網域的控制權
• 組織機構驗證－確認公司存在
• 擴展驗證－徹底的身份核查
• 證書透明度－已頒發證書的公開日誌

當瀏覽器發出憑證警告時，請務必注意。這通常意味著出現了問題。