Certificat racine et chaîne de confiance

Un certificat racine (root certificate) est le sommet de la PKI : auto-signé par l'autorité de certification racine, il ancre la confiance de toute la chaîne. Lors de la vérification d'une signature électronique, le vérificateur remonte la chaîne de certificats (Entité finale → Intermédiaire(s) → Racine) et vérifie que chaque maillon est valide, non révoqué (OCSP / CRL) et conforme à sa politique d'usage. Les navigateurs et systèmes d'exploitation embarquent des magasins de racines de confiance (Mozilla NSS, Microsoft Root Store, Apple Root Certificate Program). Pour les signatures qualifiées eIDAS, la chaîne doit remonter jusqu'à un QTSP figurant sur la liste de confiance EU. Un certificat dont la racine n'est pas dans le magasin du vérificateur sera rejeté même si la signature cryptographique est techniquement correcte.