La convalida impropria del certificato è una vulnerabilità in cui il software accetta un certificato digitale senza verificare completamente che sia affidabile. Un client sicuro dovrebbe controllare la catena di certificati, l'autorità emittente, il nome host, il periodo di validità e, talvolta, lo stato di revoca. Se uno qualsiasi di questi controlli viene saltato o gestito in modo errato, l'applicazione può fidarsi di una connessione falsa o manomessa.
Questo è importante perché i certificati sono la base della fiducia in TLS. Una convalida debole può consentire a un attaccante di effettuare un attacco man-in-the-middle, intercettare credenziali, leggere dati sensibili o modificare il traffico fingendosi un servizio legittimo. Nelle difese reali, gli sviluppatori utilizzano librerie TLS collaudate, fanno fallire in modo sicuro in caso di errori di convalida e testano casi limite come certificati scaduti, autofirmati o non corrispondenti. Anche i team di sicurezza esaminano attentamente il comportamento dei client, perché le applicazioni endpoint, i client VPN e gli strumenti di collaborazione spesso diventano bersagli di alto valore quando i controlli sui certificati sono troppo permissivi.