Der Client trägt einen DNS-Hostnamen (keine IP-Adresse; RFC 6066 verbietet literale Adressen) in server_name ein; der Server wählt damit Zertifikat und Konfiguration aus. Ohne SNI greifen Server auf ein Standardzertifikat zurück – die übliche Ursache für „Zertifikat gilt für den falschen Host“, wenn ein Client SNI weglässt, etwa openssl s_client ohne -servername in alten Versionen oder falsch konfigurierte HTTP-Clients.
Der Name im Klartext ist für Netzwerke sichtbar, die ihn für Filterung, Zensur und Analysen nutzen. Encrypted Client Hello (RFC 9849) verlagert den echten Namen in ein verschlüsseltes inneres ClientHello und zeigt im äußeren nur einen gemeinsamen öffentlichen Namen.