De root-CA of het vertrouwde anker heeft de mogelijkheid om te ondertekenen en uit te geven tussenliggende certificaten. Tussenliggende certificaten (ook bekend als tussen-, ondergeschiktof CA's afgeven) een flexibele structuur bieden om de geldigheid van het vertrouwensanker te verlenen aan aanvullende tussenliggende en eindentiteitscertificaten in de keten. In die zin vervullen tussencertificaten een administratieve functie; elk tussenproduct kan worden gebruikt voor een specifiek doel, zoals het uitgeven van SSL /TLS of certificaten voor codeondertekening - en kan er zelfs aan worden gebruikt verlenen het vertrouwen van de root-CA aan andere organisaties. Tussenliggende certificaten bieden ook een buffer tussen het eindentiteitscertificaat en de root-CA, waardoor de private root-sleutel wordt beschermd tegen inbreuk. Voor openbaar vertrouwde CA's (inclusief SSL.com), de CA / Browser-forums Basisvereisten verbiedt eigenlijk het uitgeven van eindentiteitscertificaten rechtstreeks vanuit de root-CA, die veilig offline moet worden bewaard. Dit betekent dat de vertrouwensketen van elk openbaar vertrouwd certificaat ten minste één tussenliggend certificaat omvat. In het onderstaande voorbeeld is SSL.com EV SSL Intermediate CA RSA R3 het enige intermediate certificaat in de vertrouwensketen van de SSL.com-website. Zoals de naam van het certificaat doet vermoeden, wordt het alleen gebruikt voor het uitgeven van EV SSL/TLS certificaten: