Jeder Eintrag enthält eine Seriennummer, ein Widerrufsdatum und optional einen Widerrufsgrund (keyCompromise, superseded, cessationOfOperation und weitere). Die Liste trägt thisUpdate, nextUpdate, eine monoton steigende cRLNumber und die Signatur des Ausstellers. Große CAs teilen ihre CRLs in Shards auf; jedes Zertifikat verweist über die Erweiterung CRL Distribution Points auf seine CRL, und öffentliche CAs legen außerdem in der CCADB alle ihre CRL-URLs offen.
Nach den Baseline Requirements muss eine öffentliche CA eine neue CRL für Subscriber-Zertifikate mindestens alle sieben Tage veröffentlichen (alle vier Tage, wenn nicht jedes ihrer Zertifikate eine OCSP-URL enthält) sowie innerhalb von 24 Stunden nach einem Widerruf. Browser rufen CRLs nicht bei jeder Verbindung ab, sondern fassen sie zu kompakten Sets zusammen (CRLite in Firefox, CRLSets in Chrome); deshalb sind CRLs heute der wichtigste Widerrufskanal der Web-PKI.
CRLs können groß sein, und ihre Aktualität ist durch nextUpdate begrenzt, sodass Clients, die sie zwischenspeichern, Widerrufe erst spät bemerken. Der CRL-Decoder listet die Einträge einer CRL-Datei auf.