La CA principale o l'ancoraggio di trust ha la capacità di firmare e rilasciare certificati intermedi. Certificati intermedi (noto anche come intermedio, subordinare, o CA emittenti) forniscono una struttura flessibile per conferire la validità del trust anchor ad ulteriori certificati intermedi e di entità finale nella catena. In questo senso, i certificati intermedi svolgono una funzione amministrativa; ogni intermedio può essere utilizzato per uno scopo specifico, come il rilascio di SSL /TLS o certificati di firma del codice - e possono persino essere utilizzati per conferire la fiducia della CA principale nei confronti di altre organizzazioni. I certificati intermedi forniscono anche un buffer tra il certificato dell'entità finale e la CA radice, proteggendo la chiave radice privata dalla compromissione. Per le CA pubblicamente attendibili (incluso SSL.com), il forum CA / Browser Requisiti di base proibisce effettivamente l'emissione di certificati di entità finale direttamente dalla CA radice, che devono essere mantenuti offline in modo sicuro. Ciò significa che la catena di attendibilità di qualsiasi certificato pubblicamente attendibile includerà almeno un certificato intermedio. Nell'esempio riportato di seguito, SSL.com EV SSL Intermediate CA RSA R3 è l'unico certificato intermedio nella catena di attendibilità del sito Web SSL.com. Come suggerisce il nome del certificato, viene utilizzato solo per l'emissione di EV SSL/TLS certificati: