Les arcs sont délégués de façon hiérarchique : 1.2.840 est la branche des États-Unis sous l’ISO, 1.2.840.113549 appartient à RSA Security (PKCS), 1.3.6.1.4.1 regroupe les numéros d’entreprise privés, 2.5 correspond à l’annuaire X.500 et 2.16.840.1.101.3.4 couvre les algorithmes du NIST. En X.509, vous les rencontrez constamment : 1.2.840.10045.2.1 (id-ecPublicKey), 1.2.840.10045.3.1.7 (P-256), 1.3.101.112 (Ed25519), 2.5.29.17 (subjectAltName), 2.23.140.1.2.1 (politique de validation de domaine du CA/Browser Forum).
DER encode un OID avec le tag 0x06 : les deux premiers arcs sont combinés en 40 × premier + second, et chaque arc suivant est écrit en base 128, le bit de poids fort servant d’indicateur de continuation. 1.2.840.10045.2.1 devient 06 07 2A 86 48 CE 3D 02 01.
Un OID inconnu n’est pas une erreur en soi : les analyseurs de certificats l’affichent en notation pointée, et une extension critique dont l’OID est inconnu doit entraîner un rejet (RFC 5280 §4.2). L’explorateur ASN.1 nomme les OID connus.