Ein SCT enthält die Log-ID (SHA-256 des öffentlichen Schlüssels des Logs), einen Zeitstempel in Millisekunden, Erweiterungen und eine Signatur über die Zertifikatsdaten (RFC 6962 §3.2). Eingebettete SCTs stehen in der X.509-Erweiterung 1.3.6.1.4.1.11129.2.4.2 als TLS-kodierte Liste; die TLS-Erweiterung signed_certificate_timestamp (18) liefert sie stattdessen im Handshake, sodass Server SCTs ergänzen können, ohne das Zertifikat neu ausstellen zu lassen.
Clients rechnen SCTs anhand ihrer eigenen Log-Listen auf ihre CT-Richtlinie an: Wird einem Log später das Vertrauen entzogen, können SCTs, die es vor diesem Datum ausgestellt hat, weiterhin zählen. Ein Zertifikat ohne genügend gültige SCTs scheitert in Chrome mit NET::ERR_CERTIFICATE_TRANSPARENCY_REQUIRED.
Der SCT-Decoder zeigt, welche Logs die SCTs eines Zertifikats signiert haben und wann.