Uma autoridade certificadora raiz (AC-raiz) de uma infraestrutura de chaves públicas embasada no padrão X-509 de certificados digitais assina certificados emitidos para terceiros, usualmente outras ACs, e tem seu próprio certificado assinado por uma AC-mestre, hierarquicamente superior.