La CA raíz o el ancla de confianza tienen la capacidad de firmar y emitir certificados intermedios. Certificados intermedios (también conocidos como intermedio, subordinaro CA emisoras) proporcionan una estructura flexible para conferir la validez del ancla de confianza a certificados adicionales de entidad final e intermedia en la cadena. En este sentido, los certificados intermedios cumplen una función administrativa; cada intermedio se puede utilizar para un propósito específico, como la emisión de SSL /TLS o certificados de firma de código, e incluso se pueden usar para conferir La confianza de la CA raíz con otras organizaciones. Los certificados intermedios también proporcionan un búfer entre el certificado de entidad final y la CA raíz, lo que protege la clave raíz privada de cualquier compromiso. Para las CA de confianza pública (incluido SSL.com), el foro de CA / Navegador Requisitos de referencia en realidad, prohíbe la emisión de certificados de entidad final directamente desde la CA raíz, que debe mantenerse fuera de línea de forma segura. Esto significa que la cadena de confianza de cualquier certificado de confianza pública incluirá al menos un certificado intermedio. En el ejemplo que se muestra a continuación, SSL.com EV SSL Intermediate CA RSA R3 es el único certificado intermedio en la cadena de confianza del sitio web de SSL.com. Como sugiere el nombre del certificado, solo se usa para emitir EV SSL/TLS certificados: