(IntermediateCA-cert mindig van, azért kell, hogy ne a Root-ot kelljen használni a napi folyamathoz (vagyis az EE-cert-ek tényleges kiállításához). A RootCA-certet (vagyis inkább a hozzá tartozó privátkulcsot) csak akkor kell elővenni, ha az Intermediate lejár vagy isten ments kompromittálódik.