Die wichtigsten Programme sind das von Mozilla (certdata.txt aus NSS, übernommen von den meisten Linux-Distributionen, von certifi für Python und vielen Container-Images), die von Apple und Microsoft sowie der Chrome Root Store, den Chrome seit Version 105 (2022) auf den meisten Plattformen anstelle des Stores der Plattform nutzt. Java liefert eine eigene Datei cacerts mit, Node.js bündelt die Liste von Mozilla (und kann mit --use-system-ca den Store des Systems nutzen), und Go nutzt den Store der Plattform.
Root-Programme stellen Anforderungen über die des CA/Browser Forums hinaus: Richtlinien für Certificate Transparency, Laufzeitgrenzen für Root-Zertifikate, eigene Hierarchien für jeweils nur einen Zweck, Meldung von Vorfällen und das Recht, einer CA das Vertrauen zu entziehen, mitunter nur für Zertifikate, die nach einem Stichtag ausgestellt wurden. CCADB ist die gemeinsame Datenbank, in der CAs ihre Hierarchien offenlegen.
Praktische Folgen: Einem Container aus einem alten Image kann ein neues Root-Zertifikat fehlen, TLS-Interception in Unternehmen funktioniert, indem ein privates Root-Zertifikat in den Store aufgenommen wird, und dasselbe Zertifikat kann für einen Client vertrauenswürdig sein und von einem anderen abgelehnt werden.