Wystawca certyfikatu, który nie wygasł, odpowiada za utrzymywanie tzw. „listy unieważnionych certyfikatów”. Jeśli bezpieczeństwo certyfikatu zostanie naruszone, wystawca może go unieważnić, dodając do tej listy. Wówczas przeglądarka nie traktuje tego certyfikatu jako wiarygodnego. Stanu unieważnienia nie trzeba utrzymywać dla wygasłych certyfikatów, więc mimo że ten certyfikat był ważny dla strony, którą odwiedzasz, w tej chwili nie można ustalić, czy unieważniono go z powodu naruszenia bezpieczeństwa, czy też nadal jest on bezpieczny. Dlatego nie wiadomo, czy komunikujesz się z właściwą stroną czy z intruzem, który naruszył bezpieczeństwo certyfikatu i jest w jego posiadaniu.
