A CA envia um pré-certificado a vários logs, recebe Signed Certificate Timestamps (SCTs) que prometem a inclusão dentro do atraso máximo de mesclagem (maximum merge delay, 24 horas) e os incorpora ao certificado final. Os navegadores aplicam políticas de CT: o Chrome e a Apple exigem SCTs de pelo menos dois operadores de log distintos, com dois SCTs para certificados válidos por até 180 dias e três para os de validade maior (a Apple conta no máximo um ou dois por operador). O Firefox aplica o CT no desktop desde a versão 135.
Os logs são operados pelo Google, pela Cloudflare, pela DigiCert, pela Sectigo, pelo Let's Encrypt e por outros. Os clientes podem verificar provas de inclusão e de consistência; na prática, monitores (crt.sh, Cert Spotter, o monitoramento de CT do Facebook) acompanham os logs e alertam os donos de domínios. A RFC 9162 (CT 2.0) e a static-ct-api em blocos (tiled), aceita pelo Chrome desde 2025, modernizam a arquitetura.
Efeito colateral: todo nome de host em um certificado público se torna público em minutos, então nomes internos vazam e atacantes acompanham os logs em busca de sites novos. A ferramenta de histórico de CT lista os certificados registrados para um domínio.