Los miembros deciden por votación (ballot) y se dividen en dos clases, emisores de certificados y consumidores de certificados (Apple, Google, Microsoft, Mozilla y otros); una votación necesita una mayoría de dos tercios de los emisores y la mayoría de los consumidores. Los grupos de trabajo abarcan los certificados de servidor (los Baseline Requirements de TLS y las EV Guidelines), S/MIME, la firma de código y la seguridad de red.
Votaciones recientes definieron la práctica actual: SC-063 (2023) hizo OCSP opcional y las CRL obligatorias desde el 15 de marzo de 2024; SC-067 (2024) exigió la validación desde varias perspectivas a partir del 15 de marzo de 2025; SC-081v3 (2025) redujo la vida útil de los certificados TLS a 47 días para 2029.
El Forum no hace cumplir nada por sí mismo; lo hacen los programas raíz, que exigen el cumplimiento y auditorías como condición de confianza, y pueden imponer por su cuenta reglas más estrictas (las políticas de CT y EKU de Chrome, el límite de 398 días de Apple en 2020).