W tym przypadku certyfikat serwera lub pośredniego urzędu certyfikacji przedstawiony przeglądarce ma słaby klucz, np. RSA krótszy niż 1024 bity. Ponieważ na podstawie słabego klucza publicznego można stosunkowo łatwo uzyskać klucz prywatny, intruz mógł sfałszować tożsamość serwera.
