Сертификат X.509 v3 — это SEQUENCE в кодировке DER из tbsCertificate, signatureAlgorithm и signatureValue. Подписываемая часть содержит версию, серийный номер, алгоритм подписи, имя издателя, срок действия (notBefore и notAfter), имя субъекта, SubjectPublicKeyInfo и расширения; издатель подписывает именно эти байты DER. Списки отзыва (CRL) и атрибутные сертификаты используют то же семейство структур.
Сегодня основную работу выполняют расширения: альтернативные имена субъекта (SAN, по ним браузеры сверяют имя хоста), использование ключа и расширенное использование ключа, основные ограничения (может ли сертификат подписывать другие сертификаты), ограничения имён, идентификаторы ключа центра сертификации и ключа субъекта, доступ к информации центра сертификации (URL издателя и OCSP), точки распространения CRL, политики сертификатов и встроенные SCT Certificate Transparency. Если проверяющая сторона не понимает расширение, помеченное как критическое, она должна отклонить сертификат.
Словом «X.509» называют и более широкую модель PKI с центрами сертификации, цепочками и отзывом, которая применяется далеко за пределами TLS: S/MIME, подпись кода, подпись документов (PAdES), смарт-карты (PIV), mTLS и удостоверения устройств. Постквантовые алгоритмы встраиваются через новые идентификаторы алгоритмов, например ML-DSA по RFC 9881. Декодер сертификатов локально показывает все поля сертификата.