Что такое TLS-сертификат, откуда браузер его получает и где он хранится?

TLS-сертификат связывает имя сервера с его открытым ключом и подписан центром сертификации. Браузер обычно получает сертификат и промежуточную цепочку от сервера при TLS-handshake.

Приватный ключ остаётся на сервере или в защищённом хранилище и клиенту не передаётся. Корневые доверенные сертификаты находятся в хранилище браузера или ОС; по ним проверяется цепочка доверия.

Браузер также проверяет имя хоста, срок действия и применимые правила безопасности. Сертификат может кешироваться, но не является скачанным пользователю «секретным файлом». Для установления шифрованного канала используются отдельные параметры и ключи сессии; открытый ключ сертификата не означает шифрование им всего HTTP-трафика.