OPC UA verwendet X.509-Zertifikate zur Authentifizierung der Anwendungen (Client und Server): Jede Anwendung besitzt ein eigenes Zertifikat, und das Vertrauen wird beim SecureChannel-Handshake durch gegenseitigen Austausch gemäß den jeweiligen Trust Lists hergestellt.

Jede OPC-UA-Anwendung erhält ein Application Instance Certificate (X.509) samt zugehörigem privatem Schlüssel. Beim Handshake findet eine gegenseitige Authentifizierung statt: Der Client präsentiert sein Zertifikat, der Server ebenfalls. Vertraut wird nur Zertifikaten, die in der Trust List der jeweiligen Anwendung hinterlegt sind; explizit abgelehnte landen in der Rejected List. Der typische Inbetriebnahme-Workflow lautet: Verbindungsversuch -> Zertifikat zunächst abgelehnt -> Administrator verschiebt es manuell in die Trust List -> erfolgreicher Reconnect.

Typischer Fallstrick: Application Instance Certificates ablaufen lassen - regelmäßig die Gültigkeitsdauer prüfen, da abgelaufene Zertifikate stille Verbindungsabbrüche verursachen.