Um certificado X.509 v3 é uma SEQUENCE DER de tbsCertificate, signatureAlgorithm e signatureValue. A parte a ser assinada contém a versão, o número de série, o algoritmo de assinatura, o nome do emissor, a validade (notBefore e notAfter), o nome do titular, a SubjectPublicKeyInfo e as extensões; o emissor assina exatamente esses bytes DER. As listas de revogação (CRLs) e os certificados de atributos usam a mesma família de estruturas.
Hoje, as extensões fazem a maior parte do trabalho: Subject Alternative Name (os nomes de host que os navegadores comparam), Key Usage e Extended Key Usage, Basic Constraints (se o certificado pode assinar outros), Name Constraints, identificadores de chave da autoridade e do titular, Authority Information Access (URLs do emissor e do OCSP), pontos de distribuição de CRL, políticas de certificado e SCTs de Certificate Transparency incorporados. Qualquer extensão marcada como crítica que o verificador não entenda deve levar à rejeição.
“X.509” também designa o modelo mais amplo de PKI, com CAs, cadeias e revogação, usado muito além do TLS: S/MIME, assinatura de código, assinatura de documentos (PAdES), cartões inteligentes (PIV), mTLS e identidade de dispositivos. Os algoritmos pós-quânticos entram por meio de novos identificadores de algoritmo, por exemplo o ML-DSA conforme a RFC 9881. O decodificador de certificados mostra localmente todos os campos de um certificado.