L'AC racine ou l'ancre d'approbation a la capacité de signer et d'émettre certificats intermédiaires. Certificats intermédiaires (également appelés intermédiaire, subalterneou émission d'AC) fournissent une structure flexible pour conférer la validité de l'ancre de confiance à des certificats supplémentaires d'entité intermédiaire et finale de la chaîne. En ce sens, les certificats intermédiaires remplissent une fonction administrative; chaque intermédiaire peut être utilisé dans un but spécifique - tel que l'émission de SSL /TLS ou des certificats de signature de code - et peuvent même être utilisés pour conférer la confiance de l'autorité de certification racine envers d'autres organisations. Les certificats intermédiaires fournissent également un tampon entre le certificat d'entité finale et l'autorité de certification racine, protégeant la clé racine privée contre toute compromission. Pour les autorités de certification de confiance publique (y compris SSL.com), le forum CA / Browser Exigences de base interdisent en fait de délivrer des certificats d'entité finale directement à partir de l'autorité de certification racine, qui doivent être maintenus hors ligne en toute sécurité. Cela signifie que la chaîne de confiance de tout certificat de confiance publique comprendra au moins un certificat intermédiaire. Dans l'exemple ci-dessous, SSL.com EV SSL Intermediate CA RSA R3 est le seul certificat intermédiaire dans la chaîne de confiance du site Web SSL.com. Comme le nom du certificat l'indique, il n'est utilisé que pour émettre EV SSL/TLS certificats: