Ein User/Client reicht bei der Zertifizierungsstelle (CA) den von ihm erstellen public Key als „Certificate Signing Request“ (csr) ein. Die CA signiert diesen csr mit ihrem eigenen private Key (Bildung des Hashwerts des csr und Verschlüsselung mit dem private Key) nach einer Überprüfung, ob der Antragsteller für die Angaben auf dem csr berechtigt ist. Diese Signatur wird zusammen mit dem public Key des Antragstellers an diesen in Form des Zertifikats (crt) zurückgesendet.