Un certificato sostitutivo è un certificato digitale di nuova emissione che prende il posto di uno scaduto, revocato o divenuto altrimenti non attendibile. Per un sito web, contiene in genere le informazioni necessarie per le connessioni TLS e la catena di certificati fino a un'autorità di certificazione attendibile.
La sostituzione di un certificato ripristina la capacità dei client di convalidare l'identità di un servizio e stabilire connessioni sicure, a condizione che il nuovo certificato sia installato correttamente su tutti gli endpoint pertinenti. Nelle operazioni reali, i team utilizzano inventari dei certificati, avvisi di rinnovo e controlli di distribuzione per sostituire rapidamente i certificati dopo la revoca o la scadenza. Ritardi o una distribuzione incompleta possono indurre browser e altri client a rifiutare le connessioni, trasformando una correzione della fiducia in un problema di disponibilità.