Los principales programas son el de Mozilla (certdata.txt de NSS, que reutilizan la mayoría de las distribuciones de Linux, certifi para Python y muchas imágenes de contenedor), el de Apple, el de Microsoft y el Chrome Root Store, que Chrome usa en lugar del almacén raíz de la plataforma en la mayoría de las plataformas desde la versión 105 (2022). Java incluye su propio cacerts, Node.js incorpora la lista de Mozilla (y puede usar el almacén del sistema con --use-system-ca) y Go usa el almacén de la plataforma.
Los programas raíz fijan requisitos que van más allá de los del CA/Browser Forum: políticas de Certificate Transparency, límites de vigencia para las raíces, jerarquías dedicadas a un solo propósito, notificación de incidentes y la potestad de retirar la confianza a una CA, a veces solo para los certificados emitidos después de una fecha de corte. CCADB es la base de datos compartida en la que las CA declaran sus jerarquías.
Consecuencias prácticas: un contenedor creado a partir de una imagen antigua puede no tener una raíz nueva, la interceptación de TLS en las empresas funciona añadiendo una raíz privada al almacén, y el mismo certificado puede ser de confianza para un cliente y rechazado por otro.