Os membros decidem por votação (ballot) em duas classes, a dos emissores de certificados e a dos consumidores de certificados (Apple, Google, Microsoft, Mozilla e outros), e uma votação precisa da aprovação de dois terços dos emissores e da maioria dos consumidores. Os grupos de trabalho tratam de certificados de servidor (os TLS Baseline Requirements e as EV Guidelines), S/MIME, assinatura de código e segurança de rede.
Votações recentes moldaram a prática atual: a SC-063 (2023) tornou o OCSP opcional e as CRLs obrigatórias a partir de 15 de março de 2024; a SC-067 (2024) tornou obrigatória a validação a partir de múltiplas perspectivas desde 15 de março de 2025; a SC-081v3 (2025) reduziu a vida útil dos certificados TLS para 47 dias até 2029.
O Forum não impõe nada por si só; quem impõe são os programas de raiz (root programs), que exigem conformidade e auditorias como condição de confiança e podem adotar regras mais rígidas por conta própria (as políticas de CT e de EKU do Chrome, o limite de 398 dias da Apple em 2020).