Корневой сертификат и цепочка доверия

Корневой сертификат (root certificate) — вершина PKI: самоподписанный корневым центром сертификации, он закрепляет доверие всей цепочки. При проверке электронной подписи проверяющий идёт вверх по цепочке сертификатов (Конечное лицо → Промежуточный(е) → Корень) и проверяет, что каждое звено действительно, не отозвано (OCSP / CRL) и соответствует своей политике использования. Браузеры и операционные системы содержат хранилища корневых центров доверия (Mozilla NSS, Microsoft Root Store, Apple Root Certificate Program). Для квалифицированных подписей eIDAS цепочка должна восходить к QTSP, указанному в списке доверия ЕС. Сертификат, корень которого отсутствует в хранилище проверяющего, будет отклонен, даже если криптографическая подпись технически правильна.