El cliente envía una solicitud TimeStampReq con un messageImprint (algoritmo hash y resumen, normalmente del valor de la firma) y, opcionalmente, un nonce; la TSA devuelve un SignedData de CMS cuyo contenido es un TSTInfo con la política, el número de serie, genTime, la precisión y la huella del mensaje (RFC 3161, actualizado por el RFC 5816 para los identificadores de certificado SHA-2). El certificado de la TSA lleva el EKU crítico timeStamping.
Lo usan la firma de código (contrafirmas de Authenticode, jarsigner -tsa de Java), las firmas PDF (PAdES B-T y superiores), el archivado de CMS y S/MIME y Sigstore (como alternativa a las marcas de tiempo de Rekor). Sin un sello de tiempo, una firma deja de poder verificarse cuando caduca el certificado de firma; con él, los verificadores comprueban la validez del certificado en el momento que indica el sello. El inspector de tokens de sello de tiempo decodifica los tokens localmente.