Chaque entrée comporte un numéro de série, une date de révocation et, en option, un code de motif (keyCompromise, superseded, cessationOfOperation, entre autres). La liste contient thisUpdate, nextUpdate, un cRLNumber croissant de façon monotone et la signature de l’émetteur. Les grandes AC répartissent leurs CRL en plusieurs fragments ; les certificats indiquent la leur via l’extension CRL Distribution Points, et les AC publiques déclarent en outre l’ensemble complet de leurs URL de CRL dans la CCADB.
Selon les Baseline Requirements, une AC publique doit publier une nouvelle CRL des certificats d’abonnés au moins tous les sept jours (tous les quatre jours si ses certificats ne portent pas tous une URL OCSP) et dans les 24 heures qui suivent une révocation. Les navigateurs ne téléchargent pas les CRL à chaque connexion ; ils les agrègent en ensembles compacts (CRLite de Firefox, CRLSets de Chrome), et c’est pourquoi les CRL sont désormais le principal canal de révocation de la WebPKI.
Les CRL peuvent être volumineuses et leur fraîcheur est bornée par nextUpdate, si bien que les clients qui les mettent en cache voient les révocations avec retard. Le décodeur de CRL liste les entrées d’un fichier CRL.