RFC 5280 §4.1.2.2 verlangt, dass Seriennummern positiv und pro CA eindeutig sind, und begrenzt sie auf 20 Oktette. Die Baseline Requirements fordern zusätzlich, dass Seriennummern öffentlicher TLS-Zertifikate nicht fortlaufend und kleiner als 2¹⁵⁹ sind und mindestens 64 Bit Ausgabe eines CSPRNG enthalten. Der Zufall macht Chosen-Prefix-Kollisionsangriffe auf die Signatur des Zertifikats praktisch undurchführbar – eine Lektion aus dem MD5-Angriff mit einer gefälschten CA (Rogue CA) von 2008.
Im Jahr 2019 stellten mehrere CAs fest, dass ihre Software nur 63 zufällige Bits erzeugte (das oberste Bit wurde auf null gesetzt, damit die Zahl positiv bleibt), und mussten Millionen Zertifikate widerrufen und ersetzen. Ein Präzertifikat und sein endgültiges Zertifikat haben dieselbe Seriennummer.
Seriennummern erscheinen in den meisten Tools hexadezimal (openssl x509 -serial), mit oder ohne Doppelpunkte und führende Nullen – ein häufiger Grund, warum zwischen Systemen kopierte Seriennummern scheinbar nicht übereinstimmen.