Cada entrada tem um número de série, uma data de revogação e, opcionalmente, um código de motivo (keyCompromise, superseded, cessationOfOperation, entre outros). A lista traz thisUpdate, nextUpdate, um cRLNumber monotonicamente crescente e a assinatura do emissor. As CAs grandes particionam suas CRLs; os certificados apontam para a CRL correspondente pela extensão CRL Distribution Points, e as CAs públicas também divulgam no CCADB o conjunto completo das URLs de suas CRLs.
Pelos Baseline Requirements, uma CA pública deve publicar uma nova CRL dos certificados de assinante pelo menos a cada sete dias (a cada quatro dias, se nem todos os seus certificados tiverem uma URL de OCSP) e em até 24 horas após uma revogação. Os navegadores não baixam CRLs a cada conexão: eles as agregam em conjuntos compactos (o CRLite do Firefox, os CRLSets do Chrome), e é por isso que as CRLs são hoje o principal canal de revogação da Web PKI.
As CRLs podem ser grandes, e a atualidade delas é limitada pelo nextUpdate; por isso, os clientes que as guardam em cache percebem as revogações com atraso. O decodificador de CRL lista as entradas de um arquivo de CRL.