El RFC 5280 §4.1.2.2 exige que los números de serie sean positivos y únicos para cada CA, y los limita a 20 octetos. Los Baseline Requirements añaden que los números de serie de los certificados TLS públicos no deben ser secuenciales, deben ser menores que 2¹⁵⁹ y deben contener al menos 64 bits de salida de un CSPRNG. Esa aleatoriedad hace impracticables los ataques de colisión de prefijo elegido contra la firma del certificado, una lección del ataque de 2008 con MD5 que produjo una CA fraudulenta.
En 2019 varias CA descubrieron que su software solo generaba 63 bits aleatorios (el bit más alto se forzaba a cero para que el entero fuera positivo) y tuvieron que revocar y sustituir millones de certificados. Un precertificado y su certificado final comparten el mismo número de serie.
La mayoría de las herramientas muestran los números de serie en hexadecimal (openssl x509 -serial), con o sin dos puntos y ceros a la izquierda, y ese es un motivo habitual de que los números de serie copiados entre sistemas parezcan no coincidir.