签发、登记和依赖方的不同职责
RFC 5280的PKIX模型区分终端实体、认证机构、可选的注册机构、仓库以及可能独立的撤销列表签发者。认证机构为主体与公钥的关联签发证书；注册、身份核验和资料发布可以由不同组件承担，并非必须放在同一台服务器。
依赖方是根据证书作出决定的一方，例如验证远端服务的客户端。把证书复制到公开仓库有助于取得资料，却不会自动完成身份核验、私钥保护或客户端接受政策；这些步骤共同决定基础设施实际能提供什么保证。
参考：[1]
信任锚来自依赖方的政策
认证路径验证需要一个先行接受的信任锚，包括名称、公钥和相关约束。它可能以自签名根证书表达，但使其可信的是可靠的预配置或其他带外决定，不是证书自己能用自己的公钥验过签名。
不同应用可以信任不同锚，也可以对可接受名称、证书政策和用途附加限制。因而同一条路径在某个组织内部可接受，在另一个客户端不被接受，并不必然是两者看到的证书字节不同；它们的信任输入可能不同。
参考：[1]
证书状态与密钥管理贯穿使用期
签发之后仍有有效期、密钥更替和状态信息的处理。CRL或OCSP可以提供适用范围内的撤销资料，但基础设施并不保证每次访问都得到瞬时、全局一致的状态；资料的签名、授权、时间和适用对象都要核对。
也不能假设每张证书都提供在线撤销。RFC 9608定义终端实体证书的noRevAvail扩展，明确表示认证机构不发布该证书的撤销信息，并规定相应验证例外。这是预先声明的用途和政策选择，不能把查询失败自行当作同样的声明。