Un'autorità di certificazione (CA) intermedia è un'autorità che emette certificati e si trova tra una CA radice e i certificati che firma. La CA radice delega all'intermedia l'autorità di firma rilasciandole un certificato, creando una catena di fiducia che i browser e altri software possono convalidare. Le CA intermedie consentono alle organizzazioni di emettere certificati senza usare la chiave della CA radice per le operazioni di routine.
Poiché la chiave privata di un'intermedia può autorizzare molti certificati, la sua compromissione o una generazione debole possono consentire la creazione di certificati non autorizzati. Gli aggressori potrebbero usare tali certificati per impersonare siti web o servizi, mentre i software che si basano su quella catena continuano a considerarla attendibile. I difensori proteggono le chiavi delle CA intermedie, monitorano i certificati emessi e, quando necessario, applicano aggiornamenti di revoca o di esclusione dalla fiducia. Dovrebbero anche verificare che i sistemi operativi, le applicazioni e gli archivi di certificati attendibili personalizzati ricevano tali aggiornamenti, poiché potrebbero non seguire automaticamente le decisioni dei browser in materia di attendibilità.