O cliente envia uma TimeStampReq com um messageImprint (algoritmo de hash e digest, em geral do valor da assinatura) e, opcionalmente, um nonce; a TSA retorna um SignedData CMS cujo conteúdo é um TSTInfo com a política, o número de série, genTime, a precisão e o imprint (RFC 3161, atualizada pela RFC 5816 para identificadores de certificado SHA-2). O certificado da TSA traz o EKU crítico timeStamping.
Ele é usado na assinatura de código (contra-assinaturas Authenticode, jarsigner -tsa do Java), em assinaturas de PDF (PAdES B-T e níveis superiores), no arquivamento de dados CMS e S/MIME e no Sigstore (como alternativa aos carimbos do tempo do Rekor). Sem um carimbo do tempo, a assinatura deixa de ser verificável quando o certificado de assinatura expira; com ele, os verificadores conferem a validade do certificado no momento registrado pelo carimbo. O inspetor de tokens de carimbo do tempo decodifica tokens localmente.