Certificato radice e catena di fiducia

Un certificato radice (root certificate) è il vertice della PKI: autofirmato dall'autorità di certificazione radice, ancla la fiducia dell'intera catena. Nel verificare una firma elettronica, il verificatore risale la catena di certificati (Entità finale → Intermedi → Radice) e verifica che ogni collegamento sia valido, non revocato (OCSP / CRL) e conforme alla sua politica di utilizzo. I browser e i sistemi operativi incorporano archivi di radici fidate (Mozilla NSS, Microsoft Root Store, Apple Root Certificate Program). Per le firme qualificate eIDAS, la catena deve risalire fino a un QTSP figurante nella lista di fiducia dell'UE. Un certificato la cui radice non è nell'archivio del verificatore sarà rifiutato anche se la firma crittografica è tecnicamente corretta.