Certificate authority (CA)

Een Certificate Authority geeft digitale certificaten uit binnen een PKI en koppelt identiteiten aan openbare sleutels voor vertrouwen.

Een Certificeringsinstantie (CA) is de organisatie binnen een PKI die digitale certificaten uitgeeft: zij verifieert wie een certificaat aanvraagt en ondertekent vervolgens een gegevensstructuur - meestal geformatteerd als X.509 - die een identiteit aan een openbare sleutel koppelt. Browsers, besturingssystemen en toepassingen vertrouwen een certificaat omdat zij de CA die het heeft ondertekend vertrouwen, niet omdat zij de certificaathouder rechtstreeks kennen.

Een CA bevindt zich in een hiërarchie: een root CA, offline gehouden en zwaar beveiligd, ondertekent een of meer intermediate CA's, die op hun beurt eindgebruiker- of websitecertificaten uitgeven. Deze keten stelt een vertrouwende partij in staat om stap voor stap vertrouwen te verifiëren tot een root die zij al heeft, zonder dat de root ooit rechtstreeks certificaten hoeft te ondertekenen. Voor gekwalificeerde certificaten onder eIDAS moet de uitgevende CA deel uitmaken van een QTSP die een conformiteitsevaluatie heeft doorstaan en op de EU Trusted List voorkomt; haar praktijken worden gepubliceerd in een CP/CPS.