Основные программы — у Mozilla (certdata.txt из NSS, который используют большинство дистрибутивов Linux, certifi для Python и многие образы контейнеров), Apple, Microsoft, а также Chrome Root Store: с версии 105 (2022) Chrome использует его на большинстве платформ вместо системного хранилища корневых сертификатов. Java поставляется с собственным cacerts, Node.js включает список Mozilla (и может использовать системное хранилище с флагом --use-system-ca), а Go использует хранилище платформы.
Программы корневых сертификатов предъявляют требования сверх требований CA/Browser Forum: политики Certificate Transparency, ограничение срока службы корневых сертификатов, отдельные иерархии с единственным назначением, отчёты об инцидентах, а также право прекратить доверие к CA, иногда только для сертификатов, выпущенных после определённой даты. CCADB — общая база данных, в которой CA раскрывают свои иерархии.
Практические следствия: в контейнере, собранном из старого образа, может не оказаться нового корневого сертификата; корпоративный перехват TLS работает за счёт добавления частного корневого сертификата в хранилище; одному и тому же сертификату один клиент может доверять, а другой — отклонить его.