A assinatura da própria raiz não prova nada; a confiança vem da sua inclusão em um root store. As chaves raiz ficam offline em HSMs e são usadas apenas em cerimônias de chaves para assinar certificados intermediários, assinaturas cruzadas e listas de revogação. Os períodos de validade delas são longos, muitas vezes de 20 a 25 anos, mas hoje os programas de raiz limitam por quanto tempo uma raiz pode continuar confiável para TLS: a Mozilla remove o bit de confiança para sites e o Chrome remove a raiz quando o material de chave dela passa de 15 anos, com implantação gradual a partir de abril de 2025.
Trocar uma raiz leva anos, porque todo cliente precisa da nova: em geral, a nova raiz recebe uma assinatura cruzada da antiga para que dispositivos sem a atualização ainda consigam montar um caminho de certificação. A ISRG Root X1 (RSA 4096, criada em 2015) e a ISRG Root X2 (ECDSA P-384, 2020) do Let's Encrypt seguiram esse caminho, e as raízes mais novas dele, Root YE e Root YR, têm assinatura cruzada enquanto aguardam inclusão.
Para conferir em quais raízes um cliente confia: o certdata.txt da Mozilla (usado também por muitas distribuições Linux e pelo pacote certifi), a lista do Chrome Root Store, as páginas sobre o trust store da Apple e a lista do Trusted Root Program da Microsoft.