Los servidores de Mozilla recopilan las CRL de todas las CA públicas, las cruzan con el corpus de certificados registrados en CT y construyen una cascada de filtros que responde «¿revocado o no?» sin resultados falsos para ningún certificado registrado. Los clientes descargan un filtro completo y luego pequeñas actualizaciones (Firefox las obtiene cada 12 horas), de modo que una consulta no revela nada ni añade un viaje de ida y vuelta por la red.
CRLite surgió de una investigación de Larisch y sus colegas (2017) y se activó para todos los usuarios de Firefox de escritorio en la versión 137 (2025); con Firefox 142, Mozilla dejó de enviar consultas OCSP para los certificados con validación de dominio. Depende de que las CA estén obligadas a publicar CRL y de que todos los certificados se registren en CT.
Otros navegadores usan otros agregados: los CRLSets de Chrome cubren un subconjunto seleccionado de revocaciones, sobre todo de intermedios y de casos de gran impacto, y OneCRL de Mozilla cubre los certificados intermedios.