根证书自身的签名不能证明任何东西；信任来自它被收录进根证书库。根密钥离线保存在 HSM 中，只在密钥仪式上用于为中间证书、交叉签名证书和吊销列表签名。根证书的有效期很长，通常为 20～25 年，但各根证书计划现在限制了根证书在 TLS 用途上保持受信任的时长：一旦根证书的密钥材料生成超过 15 年，Mozilla 会移除其网站信任位，Chrome 则会移除该根证书；这一规则自2025年4月起分阶段实施。
轮换根证书需要数年时间，因为每个客户端都需要获得新的根证书：新根证书通常由旧根证书交叉签名，让尚未更新的设备仍能构建出路径。Let's Encrypt 的 ISRG Root X1（RSA 4096，2015年创建）和 ISRG Root X2（ECDSA P-384，2020年）都走过这条路，其更新的 Root YE 和 Root YR 在等待被收录期间也已交叉签名。
要查看某个客户端信任哪些根证书，可以参考：Mozilla 的 certdata.txt（许多 Linux 发行版和 certifi 包也使用它）、Chrome 根证书库列表、Apple 的信任库页面，以及 Microsoft 受信任根证书计划的列表。