Un SCT contient l’identifiant du journal (le SHA-256 de la clé publique du journal), un horodatage en millisecondes, des extensions et une signature sur les données du certificat (RFC 6962 §3.2). Les SCT intégrés se trouvent dans l’extension X.509 1.3.6.1.4.1.11129.2.4.2, sous forme de liste encodée au format TLS ; l’extension TLS signed_certificate_timestamp (18) les transmet à la place pendant le handshake, ce qui permet aux serveurs d’ajouter des SCT sans réémettre le certificat.
Les clients comptabilisent les SCT au regard de leur politique CT, à l’aide de leurs propres listes de journaux : si un journal perd ensuite leur confiance, les SCT qu’il a émis avant la date du retrait de confiance peuvent encore compter. Un certificat qui n’a pas assez de SCT valides est refusé par Chrome avec NET::ERR_CERTIFICATE_TRANSPARENCY_REQUIRED.
Le décodeur de SCT indique quels journaux ont signé les SCT d’un certificat, et à quel moment.