Cada entrada tiene un número de serie, una fecha de revocación y, opcionalmente, un código de motivo (keyCompromise, superseded, cessationOfOperation y otros). La lista incluye thisUpdate, nextUpdate, un cRLNumber monótonamente creciente y la firma del emisor. Las CA grandes reparten sus CRL en varias particiones; cada certificado apunta a la suya mediante la extensión CRL Distribution Points, y las CA públicas también declaran en CCADB el conjunto completo de sus URL de CRL.
Según los Baseline Requirements, una CA pública debe publicar una nueva CRL de certificados de suscriptor al menos cada siete días (cada cuatro días si no todos sus certificados llevan una URL de OCSP) y en un plazo de 24 horas tras una revocación. Los navegadores no descargan las CRL en cada conexión: las agregan en conjuntos compactos (CRLite de Firefox, CRLSets de Chrome), y por eso las CRL son hoy el principal canal de revocación de la PKI web.
Las CRL pueden ser grandes y su actualidad está limitada por nextUpdate, así que los clientes que las guardan en caché ven las revocaciones con retraso. El decodificador de CRL muestra las entradas de un archivo CRL.