Les principaux programmes sont ceux de Mozilla (certdata.txt de NSS, repris par la plupart des distributions Linux, par certifi pour Python et par de nombreuses images de conteneurs), d’Apple et de Microsoft, ainsi que le Chrome Root Store, que Chrome utilise à la place du magasin de certificats de la plateforme sur la plupart des plateformes depuis la version 105 (2022). Java livre son propre cacerts, Node.js intègre la liste de Mozilla (et peut utiliser le magasin du système avec --use-system-ca), et Go utilise le magasin de la plateforme.
Les programmes de certificats racines fixent des exigences qui vont au-delà de celles du CA/Browser Forum : politiques de Certificate Transparency, durée maximale des racines, hiérarchies dédiées à un seul usage, déclaration des incidents et pouvoir de retirer sa confiance à une AC, parfois uniquement pour les certificats émis après une date butoir. La CCADB est la base de données commune dans laquelle les AC déclarent leurs hiérarchies.
Conséquences pratiques : un conteneur construit à partir d’une ancienne image peut ne pas contenir une racine récente, l’interception TLS en entreprise fonctionne en ajoutant une racine privée au magasin, et un même certificat peut être approuvé par un client et rejeté par un autre.