Ein X.509-v3-Zertifikat ist eine DER-kodierte SEQUENCE aus tbsCertificate, signatureAlgorithm und signatureValue. Der zu signierende Teil enthält Version, Seriennummer, Signaturalgorithmus, Namen des Ausstellers, Gültigkeit (notBefore und notAfter), Namen des Subjects, SubjectPublicKeyInfo und Erweiterungen; der Aussteller signiert genau diese DER-Bytes. Sperrlisten (CRLs) und Attributzertifikate nutzen dieselbe Familie von Strukturen.
Die meiste Arbeit leisten heute die Erweiterungen: Subject Alternative Names (die Hostnamen, die Browser abgleichen), Key Usage und Extended Key Usage, Basic Constraints (ob das Zertifikat andere signieren darf), Name Constraints, Authority Key Identifier und Subject Key Identifier, Authority Information Access (URLs des Ausstellers und des OCSP-Dienstes), CRL Distribution Points, Zertifikatsrichtlinien (Certificate Policies) und eingebettete SCTs aus Certificate Transparency. Versteht ein Verifizierer eine als kritisch markierte Erweiterung nicht, muss er das Zertifikat ablehnen.
„X.509“ bezeichnet auch das umfassendere PKI-Modell aus CAs, Ketten und Widerruf, das weit über TLS hinaus im Einsatz ist: S/MIME, Codesignatur, Dokumentsignatur (PAdES), Smartcards (PIV), mTLS und Geräteidentität. Post-Quanten-Algorithmen kommen über neue Algorithmuskennungen hinzu, etwa ML-DSA nach RFC 9881. Der Zertifikats-Decoder zeigt jedes Feld eines Zertifikats lokal an.