Un SCT contiene el ID del registro (el SHA-256 de la clave pública del registro), una marca de tiempo en milisegundos, extensiones y una firma sobre los datos del certificado (RFC 6962 §3.2). Los SCT incrustados van en la extensión X.509 1.3.6.1.4.1.11129.2.4.2 como una lista con codificación TLS; la extensión TLS signed_certificate_timestamp (18), en cambio, los entrega durante el handshake, lo que permite a los servidores añadir SCT sin volver a emitir el certificado.
Los clientes cotejan los SCT con su política de CT usando sus propias listas de registros: si más adelante se retira la confianza a un registro, los SCT que emitió antes de esa fecha pueden seguir contando. Chrome rechaza un certificado sin suficientes SCT válidos con NET::ERR_CERTIFICATE_TRANSPARENCY_REQUIRED.
El decodificador de SCT muestra qué registros firmaron los SCT de un certificado y cuándo.