Le client place un nom d’hôte DNS (pas une adresse IP : la RFC 6066 interdit les adresses littérales) dans server_name ; le serveur s’en sert pour choisir un certificat et une configuration. Sans SNI, les serveurs se rabattent sur un certificat par défaut, ce qui explique le plus souvent les erreurs « le certificat est émis pour un autre hôte » quand un client l’omet, par exemple openssl s_client sans -servername dans les anciennes versions, ou des clients HTTP mal configurés.
Le nom en clair est visible des réseaux, qui s’en servent pour le filtrage, la censure et l’analyse du trafic. Encrypted Client Hello (RFC 9849) place le vrai nom dans un ClientHello interne chiffré et n’affiche qu’un nom public partagé dans le message externe.