Certifikatutfärdare CA
Betrodd tredje part som signerar certifikat och därmed intygar att en publik nyckel hör till en viss domän.
Hela TLS vilar på att din webbläsare har en förinstallerad lista över rot-CA:er. Rotnyckeln används sällan; den signerar mellanliggande CA:er som i sin tur signerar slutcertifikat, så att en komprometterad mellannivå kan bytas utan att alla enheter måste uppdateras.
Modellens svaghet är att den är lika stark som sin svagaste länk — vilken CA som helst kan utfärda ett certifikat för vilken domän som helst. DigiNotar-intrånget 2011 visade detta i praktiken. Certificate Transparency-loggar är motmedlet: varje utfärdat certifikat loggas offentligt.