La firma de una raíz sobre sí misma no demuestra nada; la confianza viene de su inclusión en un almacén. Las claves raíz se guardan sin conexión en HSM y solo se usan en ceremonias de claves para firmar certificados intermedios, firmas cruzadas y listas de revocación. Sus períodos de validez son largos, a menudo de 20 a 25 años, pero los programas raíz ya limitan cuánto tiempo puede seguir siendo de confianza una raíz para TLS: Mozilla retira el bit de confianza para sitios web y Chrome retira la raíz cuando su material de clave tiene más de 15 años, de forma escalonada desde abril de 2025.
Rotar una raíz lleva años porque todos los clientes necesitan la nueva: una raíz nueva suele recibir la firma cruzada de la antigua para que los dispositivos sin la actualización puedan seguir construyendo una ruta. ISRG Root X1 (RSA 4096, creada en 2015) e ISRG Root X2 (ECDSA P-384, 2020) de Let's Encrypt siguieron ese camino, y sus raíces más recientes, Root YE y Root YR, tienen firma cruzada mientras esperan su inclusión.
Para comprobar en qué raíces confía un cliente: certdata.txt de Mozilla (que también usan muchas distribuciones de Linux y el paquete certifi), la lista del Chrome Root Store, las páginas del almacén de confianza de Apple y la lista del Trusted Root Program de Microsoft.