Die Mitglieder stimmen in zwei Klassen über Ballots ab – Zertifikatsaussteller und Zertifikatsnutzer (Apple, Google, Microsoft, Mozilla und andere) –, und eine Abstimmung braucht eine Zweidrittelmehrheit der Aussteller und eine Mehrheit der Nutzer. Arbeitsgruppen befassen sich mit Serverzertifikaten (den TLS Baseline Requirements und den EV Guidelines), S/MIME, Codesignatur und Netzwerksicherheit.
Jüngere Ballots haben die heutige Praxis geprägt: SC-063 (2023) machte OCSP ab dem 15. März 2024 optional und CRLs verpflichtend; SC-067 (2024) schrieb ab dem 15. März 2025 die Validierung aus mehreren Netzwerkperspektiven vor; SC-081v3 (2025) verkürzte die Laufzeit von TLS-Zertifikaten bis 2029 auf 47 Tage.
Das Forum setzt selbst nichts durch; das tun die Root-Programme, indem sie Konformität und Audits zur Bedingung für Vertrauen machen, und sie können eigenständig strengere Regeln vorgeben (die CT- und EKU-Richtlinien von Chrome, Apples Limit von 398 Tagen im Jahr 2020).