A RFC 5280 §4.1.2.2 exige que os números de série sejam positivos e únicos por CA e os limita a 20 octetos. Os Baseline Requirements acrescentam que os números de série de certificados TLS públicos devem ser não sequenciais, menores que 2¹⁵⁹ e conter pelo menos 64 bits de saída de um CSPRNG. A aleatoriedade torna impraticáveis os ataques de colisão de prefixo escolhido contra a assinatura do certificado, uma lição do ataque de 2008 que usou MD5 para criar uma CA fraudulenta.
Em 2019, várias CAs descobriram que seu software produzia apenas 63 bits aleatórios (o bit mais alto era forçado a zero para manter o inteiro positivo) e tiveram de revogar e substituir milhões de certificados. Um pré-certificado e seu certificado final compartilham o mesmo número de série.
Na maioria das ferramentas (openssl x509 -serial), os números de série aparecem em hexadecimal, com ou sem dois-pontos e zeros à esquerda, o que é um motivo comum para números de série copiados entre sistemas parecerem não coincidir.