Rotcertifikat och förtroendekedja

Ett rotcertifikat (root certificate) är toppen av PKI: självsignerat av rotcertifikatmyndigheten, förankrar det förtroendet för hela kedjan. Vid verifiering av en elektronisk signatur spårar verifieraren upp certifikatkedjan (Slutenhet → Mellanliggande → Rot) och verifierar att varje länk är giltig, inte återkallad (OCSP / CRL) och överensstämmer med dess användningspolicy. Webbläsare och operativsystem innehåller butiker för rotcertifikat (Mozilla NSS, Microsoft Root Store, Apple Root Certificate Program). För eIDAS-kvalificerade signaturer måste kedjan spåras till en QTSP som finns på EU:s förtroendelista. Ett certifikat vars rot inte finns i verifierarens butik kommer att avvisas även om den kryptografiska signaturen är tekniskt korrekt.