Os principais programas são o da Mozilla (certdata.txt do NSS, reutilizado pela maioria das distribuições Linux, pelo certifi do Python e por muitas imagens de contêiner), o da Apple, o da Microsoft e o Chrome Root Store, que o Chrome usa desde a versão 105 (2022), na maioria dos sistemas, no lugar do repositório nativo da plataforma. O Java traz seu próprio cacerts, o Node.js inclui a lista da Mozilla (e pode usar o repositório do sistema com --use-system-ca) e o Go usa o repositório da plataforma.
Os programas de raiz impõem requisitos além dos do CA/Browser Forum: políticas de Certificate Transparency, prazos máximos para as raízes, hierarquias dedicadas a um único propósito, notificação de incidentes e o poder de deixar de confiar em uma CA, às vezes apenas para certificados emitidos após uma data de corte. O CCADB é o banco de dados compartilhado em que as CAs divulgam suas hierarquias.
Consequências práticas: um contêiner criado a partir de uma imagem antiga pode não ter uma raiz nova, a interceptação de TLS em empresas funciona adicionando uma raiz privada ao root store, e o mesmo certificado pode ser aceito como confiável por um cliente e rejeitado por outro.