主要的根证书计划有 Mozilla 的（NSS certdata.txt，被大多数 Linux 发行版、Python 的 certifi 和许多容器镜像复用）、Apple 的、Microsoft 的以及 Chrome 根证书库；自 105 版（2022年）起，Chrome 在大多数平台上使用 Chrome 根证书库，而不是平台根证书库。Java 自带 cacerts，Node.js 内置了 Mozilla 的列表（也可以通过 --use-system-ca 使用系统根证书库），Go 则使用平台根证书库。
根证书计划设定了超出 CA/Browser Forum 要求的规则：证书透明度策略、根证书的期限限制、专用的单一用途层级结构、事件报告，以及取消对某个 CA 信任的权力——有时只针对某个截止日期之后签发的证书。CCADB 是 CA 公开其层级结构的共享数据库。
实际影响：基于旧镜像构建的容器可能缺少新的根证书；企业的 TLS 流量拦截正是通过向根证书库添加私有根证书来实现的；同一张证书可能被一个客户端信任，却被另一个客户端拒绝。