Die eigene Signatur eines Root-Zertifikats beweist nichts; Vertrauen entsteht durch die Aufnahme in einen Store. Root-Schlüssel werden offline in HSMs aufbewahrt und nur bei Schlüsselzeremonien verwendet, um Zwischenzertifikate, Cross-Signaturen und Sperrlisten zu signieren. Ihre Gültigkeitszeiträume sind lang, oft 20–25 Jahre, doch die Root-Programme begrenzen inzwischen, wie lange einem Root-Zertifikat für TLS vertraut werden darf: Mozilla entfernt das Vertrauensbit für Websites und Chrome das Root-Zertifikat selbst, sobald dessen Schlüsselmaterial älter als 15 Jahre ist; die Regel wird seit April 2025 schrittweise eingeführt.
Der Wechsel eines Root-Zertifikats dauert Jahre, weil jeder Client das neue braucht: Ein neues Root-Zertifikat wird meist vom alten cross-signiert, damit Geräte ohne das Update weiterhin einen Pfad aufbauen können. Bei Let's Encrypt gingen ISRG Root X1 (RSA 4096, erstellt 2015) und ISRG Root X2 (ECDSA P-384, 2020) diesen Weg, und die neueren Root YE und Root YR sind cross-signiert, solange sie auf ihre Aufnahme warten.
Welchen Root-Zertifikaten ein Client vertraut, zeigen diese Quellen: certdata.txt von Mozilla (auch genutzt von vielen Linux-Distributionen und vom Paket certifi), die Liste des Chrome Root Store, die Seiten zum Trust Store von Apple und die Liste des Trusted Root Program von Microsoft.