信任鏈，或稱電子證書鏈，是一連串的電子證書，由根證書為起點，透過層層信任[1]，使終端實體證書的持有者可以獲得轉授的信任[2]，以證明身份。基於信息安全的考慮，在進行電子商務或使用政府服務時，交易的另一方用戶，以根證書為基礎，憑藉對簽發機構的信任，相信當時持有信任鏈終端的證書持有者確為其人，並透過公開密鑰加密確保通訊保密、透過數位簽章確保內容無誤、以及保證對方不可否認。
提示：此條目的主題不是信任網絡。
公開金鑰基礎建設已經在X.509及RFC 5280指定了使用信任鏈的認證路徑驗證演算法[3]。其中，會透過證書吊銷列表及OCSP檢查手上得到的證書是否已被憑證機構在到期前撤消。另一方面，憑證機構簽發新的證書時，也可能透過證書透明度公佈簽發證書的記錄，讓公眾查核，避免有其他機構在未得到當事人同意下濫發欺詐證書偽冒身份。CA/瀏覽器論壇通過了DNS證書頒發機構授權協議，參與的憑證機構會在簽發證書前透過域名系統檢查是否已獲授權。
背景
在互聯網中，任何機構都可以登記域名以設立服務器，供大眾連接溝通並進行電子商務或使用政府服務。雖然公開密鑰加密可以確保通訊保密、數位簽章可以確保內容無誤、以及保證對方無法抵賴；但如果電子證書未獲得可供信任的數字證書認證機構數位簽章（即自簽憑證），對方的真實身份仍然可疑[4]（除非通訊雙方早已互相認識並預先透過安全渠道交換電子證書）。數字證書認證機構在公開金鑰加密基建擔任了非常重要的角色，電腦軟件安裝並信任了其根證書，根據其私鑰簽發的下層證書都可（基於數位簽章）被自動信任，如果是中介證書，則再下層的終端實體證書也一樣被自動信任，此即構成了一條信任鏈[5]。
舉例
以維基百科為例，其信任鏈包含了三張電子證書：
- 維基百科網站因為使用HTTPS，故伺服器已安裝了電子證書。此證書的主體一欄列明係發給 *.wikipedia.org 所使用，故如果用戶是連接任何 *.wikipedia.org 旗下的網站，此證書都適用。此即終端實體證書，亦是TLS伺服器憑證（由於使用了通配符，所以也是通配符證書）。
- 瀏覽器驗證 *.wikipedia.org 的電子證書時，除檢查其有效期外，還會再檢查其上級簽發證書，亦即「GlobalSign Organization Validation CA - SHA256 - G2」－－這是中介證書，持有機構已根據組織驗證確認 *.wikipedia.org 的擁有者－－維基媒體基金會－－在現實世界中的身份。
- 「GlobalSign Organization Validation CA - SHA256 - G2」是由「GlobalSign Root CA」所發出，由於「GlobalSign Root CA」沒有再上級簽發機構，它是自簽證書。應用軟件會檢查此證書有否已預載於根證書清單上：如有，則 *.wikipedia.org 的終端實體證書確認為有效，維基百科網站被認為可信任；否則向用戶警告網站未獲信任。
總括來說，由於用戶信任 GlobalSign，所以由 GlobalSign 所擔保的維基百科可以被信任。而由於用戶信任作業系統或瀏覽器的軟件商，所以由軟件商預載了根證書的 GlobalSign 都可被信任。
參考資料
Wikiwand - on
Seamless Wikipedia browsing. On steroids.
