Корневой CA (доверенный хранилищем) → промежуточный → конечный сертификат сервера. Клиент проверяет политики, сроки, EKU/SAN.