CA отправляет предсертификат в несколько журналов, получает подписанные метки времени сертификата (SCT) с обещанием включить его в журнал в пределах максимальной задержки слияния (24 часа) и встраивает их в итоговый сертификат. Браузеры применяют политики CT: Chrome и Apple требуют SCT как минимум от двух разных операторов журналов — два SCT для сертификатов со сроком действия до 180 дней и три для более долгих (Apple засчитывает от одного оператора не больше одной или двух меток). Firefox на десктопе требует CT начиная с версии 135.
Операторы журналов — Google, Cloudflare, DigiCert, Sectigo, Let's Encrypt и другие. Клиенты могут проверять доказательства включения и согласованности; на практике за журналами следят мониторы (crt.sh, Cert Spotter, мониторинг CT от Facebook) и оповещают владельцев доменов. RFC 9162 (CT 2.0) и тайловый static-ct-api (tiled), поддерживаемый в Chrome с 2025 года, модернизируют архитектуру CT.
Побочный эффект: каждое имя хоста из публичного сертификата за считаные минуты становится общедоступным, поэтому внутренние имена утекают, а атакующие следят за журналами, чтобы находить новые сайты. Инструмент истории CT показывает сертификаты, записанные в журналы для домена.