X.509 v3 証明書は、tbsCertificate、signatureAlgorithm、signatureValue からなる DER の SEQUENCE です。署名対象部分には、バージョン、シリアル番号、署名アルゴリズム、発行者名、有効期間（notBefore と notAfter）、サブジェクト名、SubjectPublicKeyInfo、拡張が含まれ、発行者はまさにその DER のバイト列に署名します。失効リスト（CRL）と属性証明書も、同じ系統の構造を使います。
現在、処理の大部分を担っているのは拡張です。サブジェクト代替名（ブラウザーが照合するホスト名）、鍵用途と拡張鍵用途、基本制約（その証明書が他の証明書に署名できるかどうか）、名前制約、認証局鍵識別子とサブジェクト鍵識別子、機関情報アクセス（発行者と OCSP の URL）、CRL 配布ポイント、証明書ポリシー、埋め込まれた Certificate Transparency の SCT などです。クリティカルとマークされた拡張を検証者が理解できない場合は、必ずその証明書を拒否しなければなりません。
「X.509」は、CA、チェーン、失効からなる、より広い PKI のモデルを指す名前でもあり、TLS 以外でも広く使われています。S/MIME、コード署名、文書署名（PAdES）、スマートカード（PIV）、mTLS、デバイスの ID などです。ポスト量子アルゴリズムは、新しいアルゴリズム識別子によって組み込まれます。たとえば RFC 9881 による ML-DSA です。証明書デコーダーは、証明書のすべてのフィールドをローカルで表示します。