Клиент отправляет TimeStampReq с полем messageImprint (алгоритм хеширования и дайджест, обычно от значения подписи) и, при необходимости, nonce; TSA возвращает структуру CMS SignedData с содержимым TSTInfo, в котором указаны политика, серийный номер, genTime, точность и отпечаток сообщения (RFC 3161; RFC 5816 обновил его, добавив идентификаторы сертификатов на основе SHA-2). Сертификат TSA содержит критическое расширение EKU со значением timeStamping.
Доверенные метки времени применяют в подписи кода (контрподписи Authenticode, jarsigner -tsa в Java), в подписях PDF (PAdES B-T и выше), в архивах CMS и S/MIME, а также в Sigstore (как альтернативу меткам времени Rekor). Без метки времени подпись нельзя проверить после того, как истечёт срок действия сертификата подписи; с ней проверяющая сторона оценивает действительность сертификата на момент, указанный в метке времени. Инспектор токенов меток времени декодирует токены локально.