Une AC soumet un précertificat à plusieurs journaux, reçoit des signed certificate timestamps (SCT) qui promettent son inclusion dans le délai maximal d’intégration (maximum merge delay) de 24 heures et les incorpore au certificat final. Les navigateurs appliquent des politiques CT : Chrome et Apple exigent des SCT d’au moins deux opérateurs de journaux distincts, avec deux SCT pour les certificats valides jusqu’à 180 jours et trois au-delà (Apple en compte au plus un ou deux par opérateur). Firefox impose CT sur ordinateur depuis la version 135.
Les journaux sont exploités par Google, Cloudflare, DigiCert, Sectigo, Let's Encrypt et d’autres. Les clients peuvent vérifier les preuves d’inclusion et de cohérence ; en pratique, des services de surveillance (crt.sh, Cert Spotter, la surveillance CT de Facebook) suivent les journaux et alertent les propriétaires de domaines. La RFC 9162 (CT 2.0) et la static-ct-api en tuiles (tiled), acceptée par Chrome depuis 2025, modernisent l’architecture.
Effet secondaire : chaque nom d’hôte figurant dans un certificat public devient public en quelques minutes, si bien que les noms internes fuitent et que des attaquants surveillent les journaux pour repérer les nouveaux sites. L’outil d’historique CT liste les certificats journalisés pour un domaine.