Voir la source de X.509

=== Structure d'un certificat ===
La définition originelle est disponible dans la {{RFC|2459|titre=Internet X.509 Public Key Infrastructure Certificate and CRL Profile|date=janvier 1999}} (section 4) ou dans la dernière version ({{RFC|5280|titre=Internet X.509 Public Key Infrastructure Certificate and Certificate Revocation List (CRL) Profile|date=mai 2008}}), qui contient une spécialisation de X.509 pour les applications [[Internet]]. La partie authentifiée contient les champs suivants :

* Version
* Numéro de série
* Algorithme de signature du certificat
* DN (''Distinguished Name'') du délivreur (autorité de certification)
* Validité (dates limites)
** Pas avant
** Pas après
* DN de l'objet du certificat
* Informations sur la clé publique
** Algorithme de la clé publique
** Clé publique proprement dite
* Identifiant unique du signataire (optionnel, X.509v2)
* Identifiant unique du détenteur du certificat (optionnel, X.509v2)
* Extensions (optionnel, à partir de X.509v3)
** Liste des extensions
* Signature des informations ci-dessus par l'autorité de certification

Les noms de l'émetteur (également signataire) comme du titulaire sont des noms X.501, que l'on retrouve également dans les annuaires [[Organisation internationale de normalisation|ISO]] et [[Lightweight Directory Access Protocol|LDAP]]. Le contenu ci-dessus est suivi par une répétition de l'algorithme de signature et de la signature proprement dite.

Rien parmi les champs obligatoires ne permet de distinguer une autorité de certification (une organisation émettrice de certificats) d'un simple titulaire. L'extension ''basicConstraints'' définie dans X.509 version 3 comble cette limitation. Une autre imperfection du même type est que seul le nom permet de lier un certificat à celui de son émetteur alors que l'on ne peut pas garantir l'unicité des noms.