گواهی ریشه و زنجیرۀ اعتماد

یک گواهی ریشه (root certificate) قله PKI است: خود‌امضا شده توسط مرجع گواهی‌دهی ریشه، این اعتماد کل زنجیر را تثبیت می‌کند. هنگام تأیید یک امضای الکترونیکی، تأیید‌کننده از طریق زنجیرۀ گواهی‌ها (نهادۀ نهایی → میانی → ریشه) رفت و روی می‌کند و تأیید می‌کند که هر پیوند معتبر، لغو نشده (OCSP / CRL) و مطابق با سیاست استفادۀ آن است. مرورگرها و سیستم‌عامل‌ها ذخیره‌های ریشه‌های اعتماد را نصب می‌کنند (Mozilla NSS، Microsoft Root Store، Apple Root Certificate Program). برای امضاهای واجد‌شرایط eIDAS، زنجیر باید به یک QTSP موجود در فهرست اعتماد EU برسد. گواهی‌ای که ریشه‌اش در ذخیرۀ تأیید‌کننده نیست، حتی اگر امضای رمزنگاری‌شدۀ فنی درست باشد، رد می‌شود.