Un certificado X.509 v3 es una SEQUENCE DER de tbsCertificate, signatureAlgorithm y signatureValue. La parte que se firma contiene la versión, el número de serie, el algoritmo de firma, el nombre del emisor, la validez (notBefore y notAfter), el nombre del sujeto, SubjectPublicKeyInfo y las extensiones; el emisor firma exactamente esos bytes DER. Las listas de revocación (CRL) y los certificados de atributos usan la misma familia de estructuras.
Hoy las extensiones hacen la mayor parte del trabajo: nombres alternativos del sujeto (los nombres de host que comparan los navegadores), uso de clave y uso extendido de clave, restricciones básicas (si el certificado puede firmar otros), restricciones de nombres, identificadores de clave de la autoridad y del sujeto, acceso a la información de la autoridad (URL del emisor y de OCSP), puntos de distribución de CRL, políticas de certificado y SCT de Certificate Transparency incrustados. Cualquier extensión marcada como crítica que un verificador no entienda debe provocar el rechazo.
«X.509» también designa el modelo de PKI más amplio de CA, cadenas y revocación, que se usa mucho más allá de TLS: S/MIME, firma de código, firma de documentos (PAdES), tarjetas inteligentes (PIV), mTLS e identidad de dispositivos. Los algoritmos poscuánticos se incorporan mediante nuevos identificadores de algoritmo, por ejemplo ML-DSA según el RFC 9881. El decodificador de certificados muestra localmente todos los campos de un certificado.