Basis-certificaat en vertrouwensketen

Een basis-certificaat (root certificate) is de top van de PKI: zelf-ondertekend door de basis-certificeringsautoriteit, vormt het de basis van het vertrouwen voor de hele keten. Bij het verifiëren van een elektronische handtekening volgt de verificateur de certificaatketen (Eindentiteit → Tussenliggende → Basis) en controleert of elk lid geldig is, niet ingetrokken (OCSP / CRL) en voldoet aan het gebruiksbeleid. Browsers en besturingssystemen bevatten vertrouwde root-archieven (Mozilla NSS, Microsoft Root Store, Apple Root Certificate Program). Voor gekwalificeerde eIDAS-handtekeningen moet de keten teruggaan tot een QTSP op de EU-vertrouwenslijst. Een certificaat waarvan de basis niet in het archief van de verificateur staat, wordt geweigerd, zelfs als de cryptografische handtekening technisch correct is.