Кто проверяет, является ли сертификат доверенным: браузер или операционная система?

Проверку выполняет клиент, устанавливающий TLS-соединение, используя своё или системное хранилище доверия.

Поэтому разные браузеры и программы могут по-разному оценить один сертификат; кроме цепочки проверяются имя сервера, сроки и другие условия.