Rodcertifikat og tillidshedskæde

Et rodcertifikat (root certificate) er toppen af PKI'en: selvunderskrevet af rotcertificeringsmyndigheden, forankrer det tilliden til hele kæden. Ved verifikation af en elektronisk signatur sporer verificeringsprogrammet certifikatkæden (slutenhed → mellemled(er) → rod) og verificerer, at hvert led er gyldigt, ikke tilbagekaldt (OCSP / CRL) og overholder dets brugspolitik. Browsere og operativsystemer indeholder tillidsrodforbogsskaber (Mozilla NSS, Microsoft Root Store, Apple Root Certificate Program). For eIDAS-kvalificerede signaturer skal kæden gå op til en QTSP, der figurerer på EU-tillidelisten. Et certifikat, hvis rod ikke er i verificeringsprogrammets butik, vil blive afvist, selvom signaturen kryptografisk er teknisk korrekt.