Cada entrada tiene un tipo: dNSName (example.com, *.example.com), iPAddress (4 o 16 bytes), rfc822Name para S/MIME, uniformResourceIdentifier para los ID de SPIFFE y similares, y otherName para casos como los UPN de Microsoft. La comparación del nombre de host sigue el RFC 6125, actualizado por el RFC 9525: un comodín coincide con exactamente una etiqueta, la situada más a la izquierda, así que *.example.com cubre www.example.com, pero no example.com ni a.b.example.com.
Chrome ignora el commonName del sujeto desde la versión 58 (2017), así que un certificado cuyo nombre solo aparece en el CN provoca el error ERR_CERT_COMMON_NAME_INVALID. Los clientes de Go, Python y OpenSSL también exigen el SAN para los nombres de host. Un certificado con el sujeto vacío debe marcar el SAN como crítico (RFC 5280 §4.2.1.6).
Los certificados TLS públicos pueden contener muchos SAN; cada nombre debe validarse por separado y todos ellos se publican en los registros de Certificate Transparency (registros CT), por lo que los nombres de host internos que figuran en certificados públicos se vuelven públicos.