Der Client sendet einen TimeStampReq mit einem messageImprint (Hash-Algorithmus und Digest, meist über den Signaturwert) und optional einer Nonce; der Zeitstempeldienst (TSA) gibt eine CMS-Struktur SignedData zurück, deren Inhalt ein TSTInfo mit Richtlinie, Seriennummer, genTime, Genauigkeit und dem Imprint ist (RFC 3161, aktualisiert durch RFC 5816 für Zertifikatskennungen mit SHA-2). Das Zertifikat der TSA trägt die kritische EKU timeStamping.
Eingesetzt werden Zeitstempel bei der Codesignatur (Gegensignaturen bei Authenticode, Java jarsigner -tsa), bei PDF-Signaturen (PAdES B-T und höher), in CMS- und S/MIME-Archiven und bei Sigstore (als Alternative zu Zeitstempeln aus Rekor). Ohne Zeitstempel lässt sich eine Signatur nicht mehr prüfen, sobald das Signaturzertifikat abläuft; mit Zeitstempel prüfen Verifizierer die Gültigkeit des Zertifikats zum Zeitpunkt des Zeitstempels. Der Zeitstempel-Token-Inspektor dekodiert Tokens lokal.