As entradas são tipadas: dNSName (example.com, *.example.com), iPAddress (4 ou 16 bytes), rfc822Name para S/MIME, uniformResourceIdentifier para IDs SPIFFE e semelhantes, e otherName para coisas como UPNs da Microsoft. A correspondência de nomes de host segue a RFC 6125, atualizada pela RFC 9525: curingas correspondem a exatamente um rótulo, o mais à esquerda, de modo que *.example.com cobre www.example.com, mas não example.com nem a.b.example.com.
O Chrome ignora o commonName do titular desde a versão 58 (2017), então um certificado cujo nome aparece apenas no CN é rejeitado com ERR_CERT_COMMON_NAME_INVALID. Clientes em Go, Python e OpenSSL também exigem o SAN para nomes de host. Um certificado com titular vazio precisa marcar o SAN como crítico (RFC 5280 §4.2.1.6).
Certificados TLS públicos podem conter muitos SANs; cada nome precisa ser validado separadamente e todos eles são publicados nos logs do Certificate Transparency, e é por isso que os nomes de hosts internos em certificados públicos se tornam públicos.