Участники голосуют по предложениям (ballot) в двух классах: издатели сертификатов и потребители сертификатов (Apple, Google, Microsoft, Mozilla и другие); для принятия предложения нужны две трети голосов издателей и большинство голосов потребителей. Рабочие группы занимаются серверными сертификатами (TLS Baseline Requirements и EV Guidelines), S/MIME, подписью кода и сетевой безопасностью.
Недавние голосования определили нынешнюю практику: SC-063 (2023) сделало OCSP необязательным, а CRL — обязательными с 15 марта 2024 года; SC-067 (2024) потребовало проверки из нескольких точек сети (multi-perspective) с 15 марта 2025 года; SC-081v3 (2025) сократило срок действия TLS-сертификатов до 47 дней к 2029 году.
Сам форум ничего не обеспечивает принудительно: это делают корневые программы (root programs), которые ставят соблюдение требований и прохождение аудитов условием доверия; они могут и самостоятельно вводить более строгие правила (политики Chrome в отношении CT и EKU, введённое Apple в 2020 году ограничение в 398 дней).