Die Server von Mozilla sammeln die CRLs aller öffentlichen CAs, führen sie mit dem Bestand der in CT protokollierten Zertifikate zusammen und bauen daraus eine Kaskade von Filtern, die für jedes protokollierte Zertifikat ohne falsche Ergebnisse beantwortet, ob es widerrufen ist oder nicht. Clients laden einen vollständigen Filter und kleine Aktualisierungen herunter (Firefox aktualisiert alle 12 Stunden), sodass eine Abfrage nichts preisgibt und keinen zusätzlichen Netzwerk-Roundtrip kostet.
CRLite geht auf eine Forschungsarbeit von Larisch und Kollegen (2017) zurück und ist seit Version 137 (2025) für alle Nutzer von Firefox auf dem Desktop aktiviert; mit Firefox 142 hat Mozilla die OCSP-Abfragen für domainvalidierte Zertifikate eingestellt. CRLite setzt die CRL-Pflicht und die CT-Protokollierung jedes Zertifikats voraus.
Andere Browser nutzen andere Aggregate: Die CRLSets von Chrome decken eine kuratierte Teilmenge der Widerrufe ab, vor allem Zwischenzertifikate und Fälle mit großer Tragweite, und OneCRL von Mozilla deckt Zwischenzertifikate ab.