По умолчанию все операционные системы семейства Windows автоматически получают и обновляют корневые сертификаты с сайта Microsoft. 1 Это происходит в рамках программы Microsoft Trusted Root Certificate Program. 12

Процесс работает так: если проверяемый сертификат в своей цепочке сертификации относится к корневому CA, который участвует в этой программе, то Windows автоматически скачает с узла Microsoft Update и добавит такой корневой сертификат в доверенные на компьютере. 12

Windows запрашивает обновление списка корневых сертификатов (certificate trust lists — CTL) один раз в неделю. 1 Если в системе отсутствует прямой доступ к каталогу Windows Update, то обновление не произойдёт. 1 В таком случае у пользователя могут быть проблемы с открытием сайтов или установкой/запуском подписанных приложений или скриптов. 12

Включить или отключить обновление сертификатов в Windows можно через GPO или реестр. 1 Например, в локальном редакторе групповой политики (gpedit.msc) нужно перейти в раздел Computer Configuration -> Administrative Templates -> System -> Internet Communication Management -> Internet Communication и настроить параметр Turn off Automatic Root Certificates Update. 1 По умолчанию эта политика не настроена, и Windows всегда пытается автоматически обновлять корневые сертификаты. 1