Les membres se prononcent par vote (ballot) en deux collèges, les émetteurs de certificats et les consommateurs de certificats (Apple, Google, Microsoft, Mozilla et d’autres), et un vote exige une majorité des deux tiers des émetteurs et une majorité des consommateurs. Les groupes de travail couvrent les certificats de serveur (les TLS Baseline Requirements et les EV Guidelines), S/MIME, la signature de code et la sécurité réseau.
Des votes récents ont façonné la pratique actuelle : SC-063 (2023) a rendu OCSP facultatif et les CRL obligatoires à partir du 15 mars 2024 ; SC-067 (2024) a imposé la validation multi-perspectives à partir du 15 mars 2025 ; SC-081v3 (2025) a ramené la durée de vie des certificats TLS à 47 jours d’ici 2029.
Le Forum n’impose rien lui-même ; ce sont les programmes de certificats racines qui le font, en exigeant la conformité et des audits comme condition de la confiance, et ils peuvent imposer de leur propre chef des règles plus strictes (politiques CT et EKU de Chrome, limite de 398 jours d’Apple en 2020).