公開鍵証明書
公開鍵証明書が偽造されないように通常、デジタル署名が使用される。 典型的な公開鍵基盤(PKI)体系においては、認証局(CA)がこの署名を行う。信頼の輪(Web of Trust)体系においては、自分自身(自己署名証明書)もしくは他のユーザーが署名を行う。どちらの場合でも、証明書に署名をした者が公開鍵と所有者情報との結びつきを証明し、証明書の正当性を保証することになる。
大規模な展開になるとアリスはボブの認証局のことを知らないということもあり得るので(アリスとボブが異なる認証局を持っているかもしれず、それぞれが自分の認証局を使用している場合はこのような結果となってしまう)、ボブの証明書はアリスでも認識できるかもしれない「より階層の高い」認証局が署名したボブの認証局の公開鍵も組み込む場合がある。このプロセスは証明書の階層構造、そして複雑な信頼関係に達する。公開鍵基盤は大規模な設定で証明書を管理するソフトウェアを対象とする。X.509では証明書の階層構造はトップダウンのツリー構造であり、認証局を複数の第三者機関によって信頼するという必要をなくすために体系の中心として認証局を代表するルート証明書がツリーの先端となる。
かつて、ブラウザの互換性の問題で必要分の固定IPアドレスを使用しなければならず、認証局(CA)発行の証明書は1年間有効のもので3万円程度と導入コストは高価だったが、近年、レンタルサーバー業者がSNI SSLに対応したり、大手CA発行の証明書も1千円程度と大変安価で発行できるようになった。また、無料で証明書が取得ができるサービス(Let's Encrypt)もあり、導入コストは下がってきている。