ルート証明書自体の署名は何も証明しません。信頼は、ストアに収録されていることから生まれます。ルート鍵は HSM 内でオフラインで保管され、中間証明書、クロス署名、失効リストへの署名のために、鍵セレモニーでのみ使われます。有効期間は長く、20〜25 年に及ぶことも多いですが、現在ではルートプログラムが、TLS 向けにルートを信頼し続ける期間に上限を設けています。鍵素材の作成から 15 年を超えると、Mozilla はウェブサイト向けの信頼ビットを外し、Chrome はルートを削除します。これは 2025年4月から段階的に適用されています。
すべてのクライアントが新しいルートを必要とするため、ルートの切り替えには何年もかかります。通常、新しいルートは古いルートによってクロス署名され、更新を受けていないデバイスでもパスを構築できるようにします。Let's Encrypt の ISRG Root X1（RSA 4096、2015年作成）と ISRG Root X2（ECDSA P-384、2020年）はこの道をたどり、より新しい Root YE と Root YR も、ルートストアへの収録を待つ間はクロス署名されています。
クライアントがどのルートを信頼しているかは、次の資料で確認できます。Mozilla の certdata.txt（多くの Linux ディストリビューションと certifi パッケージでも使われています）、Chrome Root Store の一覧、Apple のトラストストアのページ、Microsoft の Trusted Root Program の一覧です。