Đầu tiên, về sự khác biệt giữa khóa và chứng chỉ (liên quan đến "khóa CA"), có 3 phần được sử dụng khi nói về chứng chỉ khóa công khai (thường là X.509): khóa công khai, khóa riêng tư và chứng chỉ. Khóa công khai và khóa riêng tư tạo thành một cặp. Bạn có thể ký và giải mã bằng khóa riêng, bạn có thể xác minh (chữ ký) và mã hóa bằng khóa công khai. Khóa công khai nhằm mục đích được phân phối, trong khi khóa riêng có nghĩa là được giữ riêng tư.
Chứng chỉ khóa công khai là sự kết hợp giữa khóa công khai và các phần thông tin khác nhau (chủ yếu liên quan đến danh tính của chủ sở hữu cặp khóa, bất kỳ ai kiểm soát khóa cá nhân), sự kết hợp này được ký bằng khóa riêng của tổ chức phát hành chứng chỉ. Chứng chỉ X.509 có tên phân biệt chủ thể và tên phân biệt nhà phát hành. Tên tổ chức phát hành là tên chủ thể của chứng chỉ của chủ thể cấp chứng chỉ. Chứng chỉ tự ký là một trường hợp đặc biệt mà người phát hành và chủ thể đều giống nhau. Bằng cách ký vào nội dung của chứng chỉ (tức là phát hành chứng chỉ), tổ chức phát hành xác nhận nội dung của nó, cụ thể là sự ràng buộc giữa khóa, danh tính (chủ thể) và các thuộc tính khác nhau (có thể chỉ ra ý định hoặc phạm vi sử dụng cho chứng chỉ).
Trên hết, đặc tả PKIX xác định một phần mở rộng (một phần của chứng chỉ nhất định) cho biết liệu một chứng chỉ có thể được sử dụng làm chứng chỉ CA hay không, nghĩa là liệu nó có thể được sử dụng làm công cụ phát hành cho một chứng chỉ khác hay không.
Từ đó, bạn xây dựng một chuỗi chứng chỉ giữa chứng chỉ thực thể cuối (là chứng chỉ bạn muốn xác minh, dành cho người dùng hoặc máy chủ) và chứng chỉ CA mà bạn tin tưởng. Có thể có chứng chỉ CA trung gian (được cấp bởi các chứng chỉ CA khác) giữa chứng chỉ thực thể cuối của dịch vụ của bạn và chứng chỉ CA mà bạn tin tưởng. Bạn không hoàn toàn cần một CA gốc ở trên cùng (chứng chỉ CA tự ký), nhưng trường hợp này thường xảy ra (bạn có thể chọn tin tưởng trực tiếp chứng chỉ CA trung gian nếu muốn).
Đối với trường hợp sử dụng của bạn, nếu bạn tạo chứng chỉ tự ký cho một dịch vụ cụ thể, thì việc nó có cờ CA (phần mở rộng ràng buộc cơ bản) hay không không thực sự quan trọng. Bạn sẽ cần nó là chứng chỉ CA để có thể cấp các chứng chỉ khác (nếu bạn muốn xây dựng PKI của riêng mình). Nếu chứng chỉ bạn tạo cho dịch vụ này là chứng chỉ CA, thì chứng chỉ đó sẽ không gây hại gì. Điều quan trọng hơn là cách bạn có thể định cấu hình máy khách của mình để tin cậy chứng chỉ đó cho máy chủ cụ thể này (ví dụ: các trình duyệt sẽ cho phép bạn thực hiện một ngoại lệ rõ ràng khá dễ dàng). Nếu cơ chế cấu hình tuân theo mô hình PKI (không sử dụng các ngoại lệ cụ thể), vì không cần phải xây dựng chuỗi (chỉ với một chứng chỉ), bạn có thể nhập trực tiếp chứng chỉ như một phần của các neo tin cậy của khách hàng của bạn, cho dù nó '