Urząd certyfikacji
Zaufana strona trzecia, która podpisuje certyfikaty i tym samym poświadcza, że dany klucz publiczny należy do danej domeny.
Całe TLS opiera się na tym, że przeglądarka ma wbudowaną listę głównych urzędów certyfikacji. Klucz główny używany jest rzadko: podpisuje urzędy pośrednie, a te certyfikaty końcowe, więc skompromitowany urząd pośredni można wymienić bez aktualizowania każdego urządzenia.
Słabością modelu jest to, że jest tak mocny jak jego najsłabsze ogniwo: każdy urząd może wystawić certyfikat dla dowolnej domeny. Włamanie do DigiNotar w 2011 roku pokazało to w praktyce. Przeciwwagą są rejestry Certificate Transparency, w których publicznie loguje się każdy wystawiony certyfikat.