Una CA envía un precertificado a varios registros, recibe marcas de tiempo de certificado firmadas (SCT) que prometen su inclusión dentro del retardo máximo de incorporación (maximum merge delay, 24 horas) y las incrusta en el certificado final. Los navegadores aplican políticas de CT: Chrome y Apple exigen SCT de al menos dos operadores de registros distintos, con dos SCT para los certificados válidos hasta 180 días y tres para los de mayor duración (Apple cuenta como máximo uno o dos por operador). Firefox exige CT en escritorio desde la versión 135.
Los registros los operan Google, Cloudflare, DigiCert, Sectigo, Let's Encrypt y otros. Los clientes pueden verificar pruebas de inclusión y de coherencia; en la práctica, son los monitores (crt.sh, Cert Spotter, la monitorización de CT de Facebook) los que vigilan los registros y avisan a los propietarios de dominios. El RFC 9162 (CT 2.0) y la static-ct-api basada en teselas (tiles), que Chrome acepta desde 2025, modernizan el diseño.
Efecto secundario: cada nombre de host de un certificado público se hace público en cuestión de minutos, así que los nombres internos quedan expuestos y los atacantes vigilan los registros en busca de sitios nuevos. La herramienta de historial de CT muestra los certificados registrados para un dominio.