Os bits são definidos na RFC 5280 §4.2.1.3: digitalSignature (assinaturas do handshake TLS, OCSP), contentCommitment (antes nonRepudiation, para documentos que valem como compromisso), keyEncipherment (transporte de chave RSA, que o TLS 1.3 não usa mais), dataEncipherment, keyAgreement (ECDH), keyCertSign e cRLSign (certificados de CA). Os certificados de CA devem marcar a extensão como crítica.
Valores típicos em certificados folha: certificados TLS ECDSA usam apenas digitalSignature; certificados TLS RSA usam digitalSignature e, para a troca de chaves RSA do TLS 1.2, keyEncipherment. Os verificadores que aplicam os bits rejeitam incompatibilidades, então um certificado emitido para assinatura não pode ser usado para acordo de chaves, e vice-versa.
A extensão Key Usage restringe operações criptográficas; a Extended Key Usage (EKU) restringe aplicações, como autenticação de servidor ou assinatura de código. As duas precisam permitir o uso para que um verificador o aceite.