認証局、ルート認証局、ブリッジ認証局
実社会では、発信者の本人認証手段として、実印の押印や印鑑証明があります。電子署名の場合は、認証局から証明書（デジタル証明書）が発行され、Ｗｅｂページやメールに添付されます。その証明書が印鑑証明に相当します。
認証局に署名を登録するには費用がかかります。大勢の社員がそれぞれ電子署名が必要な場合は、自社で認証局を設置することがあります。
認証局を設置するのは原則自由です。行政の認可や届出などは必要とせず、認証局（認証サーバ）を設置して、証明書を発行できます。認証サーバの設置・運営をするシステムも提供されています。
デジタル証明書の信頼性を高めるために、認証局が証明書を発行するときのポリシーを定めるものです。認証局が自認証業務について、「適用範囲」「セキュリティの基準」「審査の基準」などを示したものです。
法的な規則ではなく、保健医療福祉分野など業界が自主的に定めることが多いようです。
信用の低い認証局が発行した証明書では、受信者が信用しないでしょう。あるいは、悪意をもって設置した認証局があるかもしれません。
認証局の信頼を高めるために、他の認証局から認証を受ける仕組みがあります。認証局間は階層化されており、上位の認証局の認証を得る（上位の認証局が下位の認証局が信用できることを保証する）ようになっています。受信者がある認証局の信用を知りたいときは、順に上位の認証局を調べていき、受信者が信用している上位の認定局が存在すれば、当該認証局も信用できるだろうという考え方です。
最上位の認証局をルート認証局といいます。ルート認証局は、それを審査する組織があり厳しい審査を受けていること、ルート認証局に認証業務運用規程の公開義務があるなどにより、デジタル証明書以外の方法で信用を確保しています。
なお、認証局には民間の認証局と地方公共団体の認証局があります。その間の認証をする認証局をブリッジ認証局といいます。
大手の認証局Ａが攻撃されて、ＷｅｂサイトＢに関する不正証明書が発行される事件がありました。その不正証明書により利用者がＢと通信すると、その通信に割込み、不正行為をする危険性があります。
これを防ぐには、認証局が暗号アルゴリズムの強化や運用上の対策が必要ですが、ここでは利用者側の対策を考えます。現実には難しいのですが、ここまでの知識を高める目的で掲げます。
Ｂの証明書が、Ａで認証されたものならば、ブラウザの機能により認証局Ａを「信用できる認証局」から外すと、認証されていない旨のエラーメッセージが表示されます。この場合は即座に通信を中止します。