CA 把预证书提交到多个日志，获得承诺在最大合并延迟（24 小时）内收录该证书的签名证书时间戳（SCT），再把它们嵌入最终证书。浏览器会强制执行 CT 策略：Chrome 和 Apple 要求 SCT 至少来自 2 个不同的日志运营方，有效期不超过 180 天的证书需要 2 个 SCT，更长的需要 3 个（Apple 对每个运营方最多只计 1 个或 2 个）。Firefox 自 135 版起在桌面版上强制执行 CT。
日志由 Google、Cloudflare、DigiCert、Sectigo、Let's Encrypt 等机构运营。客户端可以验证包含证明和一致性证明；实际上是由监控服务（crt.sh、Cert Spotter、Facebook 的 CT 监控）监视日志并向域名所有者发出告警。RFC 9162（CT 2.0）以及 Chrome 自2025年起接受的分块（tiled）static-ct-api 让这一设计更加现代化。
副作用：公开证书中的每个主机名都会在几分钟内公开，因此内部名称会泄露，攻击者也会监视日志来发现新网站。CT 历史记录工具可以列出某个域名已记录到日志中的证书。