Кореневий сертифікат та ланцюг довіри

Кореневий сертифікат (root certificate) — це вершина PKI: підписаний самим собою кореневим центром сертифікації, він закріплює довіру всього ланцюга. Під час перевірки електронного підпису верифікатор піднімається ланцюгом сертифікатів (Кінцевий об'єкт → Проміжні(-й) → Корінь) і перевіряє, що кожна ланка дійсна, не відозвана (OCSP / CRL) та відповідає своїй політиці використання. Браузери та операційні системи включають сховища кореневої довіри (Mozilla NSS, Microsoft Root Store, Apple Root Certificate Program). Для кваліфікованих підписів eIDAS ланцюг має сягати QTSP, що фігурує на списку довіри ЄС. Сертифікат, корінь якого не знаходиться в сховищі верифікатора, буде відхилений, навіть якщо криптографічний підпис технічно правильний.