Есть три опции по проверке сертификатов, которые задаются в конфигурационном файле сервиса:

"CryptoValidationServiceOptions": {
    //Проверять цепочку сертификатов на доверие при построении списка моделей сертификтов
    "CheckChainOnCertListModelBuilding": true,
    //При аутентификации проверять наличие закрытого ключа через подписание/снятие подписи произвольного блока данных
    "CheckPrivateKeyOnAuth": true,
    //После проверки закрытого ключа проверять сертификат в подписи на доверие
    "CheckChainOnPriateKeyCheck": true
}

На диаграмме объясняются как работают опции: