Certificado raíz y cadena de confianza

Un certificado raíz (root certificate) es el vértice de la PKI: autofirmado por la autoridad de certificación raíz, ancla la confianza de toda la cadena. Al verificar una firma electrónica, el verificador remonta la cadena de certificados (Entidad final → Intermediario(s) → Raíz) y verifica que cada eslabón sea válido, no revocado (OCSP / CRL) y conforme a su política de uso. Los navegadores y sistemas operativos incluyen almacenes de raíces de confianza (Mozilla NSS, Microsoft Root Store, Apple Root Certificate Program). Para las firmas calificadas eIDAS, la cadena debe remontar hasta un QTSP en la lista de confianza de la UE. Un certificado cuya raíz no está en el almacén del verificador será rechazado incluso si la firma criptográfica es técnicamente correcta.