RFC 5280, § 4.1.2.2 требует, чтобы серийные номера были положительными и уникальными в пределах CA, и ограничивает их длину 20 октетами. Baseline Requirements добавляют, что серийные номера публичных TLS-сертификатов должны быть непоследовательными, меньше 2¹⁵⁹ и содержать не менее 64 бит выхода CSPRNG. Благодаря случайности атаки на подпись сертификата через коллизии с выбранным префиксом становятся практически неосуществимыми — это урок атаки 2008 года, когда с помощью коллизии MD5 был создан поддельный CA.
В 2019 году несколько CA обнаружили, что их программное обеспечение генерирует только 63 случайных бита (старший бит принудительно обнулялся, чтобы число оставалось положительным), и им пришлось отозвать и заменить миллионы сертификатов. У предсертификата и итогового сертификата один и тот же серийный номер.
Большинство инструментов показывает серийные номера в шестнадцатеричном виде (openssl x509 -serial), с двоеточиями или без них, с ведущими нулями или без них; это частая причина, по которой серийные номера, скопированные из одной системы в другую, как будто не совпадают.