Серверы Mozilla собирают CRL всех публичных CA, сопоставляют их с корпусом сертификатов из журналов CT и строят каскад фильтров, который отвечает на вопрос «отозван или нет» без ложных результатов для любого сертификата из журналов. Клиенты скачивают полный фильтр и небольшие обновления (Firefox обновляет данные каждые 12 часов), поэтому проверка ничего не раскрывает и не требует лишнего обращения к сети.
CRLite исследовали Лариш и соавторы (2017), а в версии 137 (2025) его включили для всех пользователей Firefox на десктопе; начиная с Firefox 142 Mozilla перестала отправлять OCSP-запросы для сертификатов с проверкой домена (DV). Механизм опирается на обязательную публикацию CRL и на запись каждого сертификата в журналы CT.
В других браузерах используются другие сводные наборы: CRLSets в Chrome охватывают отобранное подмножество отзывов — в основном промежуточные сертификаты и случаи с серьёзными последствиями, а OneCRL от Mozilla охватывает промежуточные сертификаты.