Una gerarchia dei certificati è la catena di trust che collega un certificato leaf a una CA intermedia e, in ultima analisi, a una CA root attendibile. In TLS, questa struttura consente al software di verificare che un certificato server o client sia stato emesso da un'autorità di cui si fida, invece di essere autofirmato o contraffatto. La gerarchia include anche dettagli di policy come l'uso delle chiavi, i periodi di validità e se un certificato può firmare altri certificati.
Questo è importante nella sicurezza informatica perché i difensori usano la gerarchia per convalidare i servizi, raggruppare host correlati e individuare riusi sospetti. Un certificato leaf riutilizzato, un emittente inatteso o una catena interrotta possono rivelare amministrazione condivisa, infrastruttura clonata o una distribuzione configurata in modo errato. Gli attaccanti possono abusare di chiavi private rubate o cercare di mettere in piedi servizi falsi con certificati che non si convalidano correttamente. I difensori cercano coerenza dell'emittente, completezza della catena, scadenza e discrepanze tra un certificato e il servizio che lo presenta.