Certyfikat główny i łańcuch zaufania

Certyfikat główny (root certificate) to szczyt PKI: podpisany samym sobą przez główny urząd certyfikacji, zakotwicza zaufanie do całego łańcucha. Podczas weryfikacji podpisu elektronicznego, weryfikator przechodzi w górę łańcucha certyfikatów (Jednostka końcowa → Pośredni(e) → Główny) i weryfikuje, że każde ogniwo jest ważne, nie odwołane (OCSP / CRL) i zgodne z polityką użytkowania. Przeglądarki i systemy operacyjne zawierają magazyny głównych zaufanych certyfikatów (Mozilla NSS, Microsoft Root Store, Apple Root Certificate Program). Dla podpisów kwalifikowanych eIDAS łańcuch musi prowadzić do QTSP figurującego na unijnej liście zaufania. Certyfikat, którego główny certyfikat nie znajduje się w magazynie weryfikatora, zostanie odrzucony, nawet jeśli podpis kryptograficzny jest technicznie poprawny.