Rotsertifikat og tillitskjede

Et rotsertifikat (root certificate) er toppen av PKI: selv-signert av rotsertsifikatutsteder, forankrer det tilliten til hele kjeden. Ved verifisering av en elektronisk signatur sporer verifikatoren sertifikatskjeden oppover (Sluttbruker → Mellomliggende → Rot) og bekrefter at hver lenke er gyldig, ikke tilbakekalt (OCSP / CRL) og i samsvar med brukspolicyen. Nettlesere og operativsystemer inneholder magasiner med tillitsrøtter (Mozilla NSS, Microsoft Root Store, Apple Root Certificate Program). For kvalifiserte eIDAS-signaturer må kjeden spores til en QTSP som er oppført på EU-tillitslisten. Et sertifikat hvis rot ikke er i verifikatørens magasin vil bli avvist selv om den kryptografiske signaturen er teknisk korrekt.