Eine CA reicht ein Präzertifikat bei mehreren Logs ein, erhält Signed Certificate Timestamps (SCTs), die die Aufnahme innerhalb der maximalen Aufnahmeverzögerung (Maximum Merge Delay, 24 Stunden) zusagen, und bettet sie in das endgültige Zertifikat ein. Browser setzen CT-Richtlinien durch: Chrome und Apple verlangen SCTs von mindestens zwei verschiedenen Log-Betreibern, und zwar zwei SCTs für Zertifikate mit einer Gültigkeit von bis zu 180 Tagen und drei für längere (Apple zählt pro Betreiber höchstens ein oder zwei). Firefox erzwingt CT auf dem Desktop seit Version 135.
Betrieben werden die Logs von Google, Cloudflare, DigiCert, Sectigo, Let's Encrypt und anderen. Clients können Inclusion- und Consistency-Proofs prüfen; in der Praxis beobachten Monitoring-Dienste (crt.sh, Cert Spotter, das CT-Monitoring von Facebook) die Logs und benachrichtigen Domaininhaber. RFC 9162 (CT 2.0) und die kachelbasierte static-ct-api, die Chrome seit 2025 akzeptiert, modernisieren den Aufbau.
Nebenwirkung: Jeder Hostname in einem öffentlichen Zertifikat wird binnen Minuten öffentlich, sodass interne Namen nach außen dringen und Angreifer die Logs nach neuen Websites durchsuchen. Das Tool CT-Verlauf listet die für eine Domain protokollierten Zertifikate auf.