Die Bits sind in RFC 5280 §4.2.1.3 definiert: digitalSignature (Signaturen im TLS-Handshake, OCSP), contentCommitment (früher nonRepudiation, für Dokumente, die als verbindliche Zusage gedacht sind), keyEncipherment (RSA-Schlüsseltransport, von TLS 1.3 nicht mehr genutzt), dataEncipherment, keyAgreement (ECDH), keyCertSign und cRLSign (CA-Zertifikate). CA-Zertifikate müssen die Erweiterung als kritisch markieren.
Typische Werte in Leaf-Zertifikaten: ECDSA-TLS-Zertifikate nutzen nur digitalSignature; RSA-TLS-Zertifikate nutzen digitalSignature und, für den RSA-Schlüsselaustausch in TLS 1.2, keyEncipherment. Verifizierer, die die Bits durchsetzen, lehnen Abweichungen ab, sodass ein zum Signieren ausgestelltes Zertifikat nicht für die Schlüsseleinigung genutzt werden kann und umgekehrt.
Key Usage schränkt kryptografische Operationen ein, Extended Key Usage (EKU) dagegen Anwendungszwecke wie Serverauthentifizierung oder Codesignatur. Beide müssen die Verwendung erlauben, damit ein Verifizierer sie akzeptiert.