L’auto-signature d’une racine ne prouve rien ; la confiance vient de son inclusion dans un magasin. Les clés racines sont conservées hors ligne dans des HSM et ne servent que lors de cérémonies de clés, pour signer des certificats intermédiaires, des certificats à signature croisée et des listes de révocation. Leurs périodes de validité sont longues, souvent de 20 à 25 ans, mais les programmes de certificats racines plafonnent désormais la durée pendant laquelle une racine peut rester approuvée pour TLS : Mozilla retire le bit de confiance pour les sites web et Chrome retire la racine dès que son matériel de clé a plus de 15 ans, une règle appliquée progressivement depuis avril 2025.
Remplacer une racine prend des années, car chaque client doit disposer de la nouvelle : une nouvelle racine reçoit généralement une signature croisée de l’ancienne, afin que les appareils non mis à jour puissent encore construire un chemin. Chez Let’s Encrypt, ISRG Root X1 (RSA 4096, créée en 2015) et ISRG Root X2 (ECDSA P-384, 2020) ont suivi cette voie, et les racines plus récentes, Root YE et Root YR, ont reçu une signature croisée en attendant leur inclusion.
Pour savoir quelles racines un client approuve : le fichier certdata.txt de Mozilla (également utilisé par de nombreuses distributions Linux et par le paquet certifi), la liste du Chrome Root Store, les pages d’Apple sur son magasin de confiance et la liste du Trusted Root Program de Microsoft.