Autorité de certification
Un tiers de confiance qui signe des certificats et atteste ainsi qu'une clé publique appartient bien à un domaine donné.
Tout TLS repose sur une liste d'autorités racines préinstallée dans votre navigateur. La clé racine sert rarement : elle signe des autorités intermédiaires, qui signent à leur tour les certificats finaux, si bien qu'une intermédiaire compromise se remplace sans mettre à jour chaque appareil.
La faiblesse du modèle est qu'il vaut ce que vaut son maillon le plus faible : n'importe quelle autorité peut émettre un certificat pour n'importe quel domaine. La compromission de DigiNotar en 2011 l'a montré dans les faits. Les journaux Certificate Transparency sont la parade : chaque certificat émis y est consigné publiquement.