Ein X.509-Zertifikat ist ein digitales Zertifikat, das eine Identität (z. B. einen Servernamen, eine Person oder ein Gerät) an einen öffentlichen Schlüssel bindet und von einer Zertifizierungsstelle (CA) signiert wird. Das Format ist im ITU-T-Standard X.509 definiert und besteht aus Feldern wie Subject, Issuer, Gültigkeitszeitraum, Public Key, Seriennummer, Signaturalgorithmus und Erweiterungen.
In der Praxis sind X.509-Zertifikate die Basis von TLS/HTTPS, S/MIME, Code Signing, Smartcards und vielen Maschinen-zu-Maschinen-Authentifizierungen. Sie werden in Formaten wie PEM (Base64-codiertes ASCII) oder DER (binär) gespeichert; gebräuchliche Erweiterungen sind z. B. Subject Alternative Name (SAN), Extended Key Usage (EKU) und Authority Information Access (AIA).
Einsatzzweck ist die kryptografisch geprüfte Identitätsbindung. Wer einer CA vertraut, vertraut implizit dem ausgestellten X.509-Zertifikat und damit der Aussage, dass der angegebene Public Key zum genannten Subjekt gehört. Das ermöglicht authentifizierte Verbindungen, ohne shared secret.
Der X.509-Standard wurde erstmals 1988 von der ITU-T im Rahmen des X.500-Verzeichnisdienstes veröffentlicht. Seitdem wurde er mehrfach überarbeitet; relevant ist heute vor allem die in RFC 5280 von der IETF profilierte Variante "X.509v3", die die heute übliche Erweiterungsstruktur einführte.
Bemerkenswert: Die Verbreitung von SAN-Erweiterungen hat dazu geführt, dass das traditionelle Common Name (CN)-Feld für Hostnamen seit RFC 6125 als veraltet gilt - Browser wie Chrome ignorieren CN seit 2017 ganz. Auch die zunehmende Verkürzung der Zertifikatslaufzeit (heute meist 90 oder 397 Tage) ist eine Folge von Praxisproblemen mit langlebigen, schwer revoziierbaren Zertifikaten.