Die Einträge sind typisiert: dNSName (example.com, *.example.com), iPAddress (4 oder 16 Byte), rfc822Name für S/MIME, uniformResourceIdentifier für SPIFFE-IDs und Ähnliches sowie otherName etwa für UPNs von Microsoft. Der Abgleich von Hostnamen folgt RFC 6125, aktualisiert durch RFC 9525: Wildcards decken genau ein Label ganz links ab, *.example.com passt also auf www.example.com, aber nicht auf example.com oder a.b.example.com.
Chrome ignoriert den commonName des Subjects seit Version 58 (2017); ein Zertifikat, dessen Name nur im CN steht, wird daher mit ERR_CERT_COMMON_NAME_INVALID abgelehnt. Auch Clients in Go, Python und OpenSSL verlangen den SAN für Hostnamen. Ein Zertifikat mit leerem Subject muss den SAN als kritisch markieren (RFC 5280 §4.2.1.6).
Öffentliche TLS-Zertifikate können viele SANs enthalten; jeder Name muss einzeln validiert werden, und jeder davon wird in Certificate-Transparency-Logs veröffentlicht – deshalb werden interne Hostnamen in öffentlichen Zertifikaten öffentlich.