Le client envoie une TimeStampReq contenant un messageImprint (algorithme de hachage et condensat, généralement de la valeur de signature) et, en option, un nonce ; la TSA (autorité d’horodatage) renvoie un SignedData CMS dont le contenu est un TSTInfo comprenant la politique, le numéro de série, genTime, la précision et le condensat soumis (RFC 3161, mise à jour par la RFC 5816 pour les identifiants de certificat SHA-2). Le certificat de la TSA porte l’EKU critique timeStamping.
L’horodatage de confiance sert à la signature de code (contre-signatures Authenticode, jarsigner -tsa de Java), aux signatures PDF (PAdES B-T et niveaux supérieurs), aux archives CMS et S/MIME, ainsi qu’à Sigstore (comme alternative aux horodatages de Rekor). Sans horodatage, une signature devient invérifiable à l’expiration du certificat de signature ; avec un horodatage, les vérificateurs contrôlent la validité du certificat au moment horodaté. L’inspecteur de jetons d’horodatage décode les jetons localement.