条目带有类型：dNSName（example.com、*.example.com）、iPAddress（4 或 16 字节）、用于 S/MIME 的 rfc822Name、用于 SPIFFE ID 等的 uniformResourceIdentifier，以及用于 Microsoft UPN 等内容的 otherName。主机名匹配遵循 RFC 6125（已由 RFC 9525 更新）：通配符恰好匹配最左侧的一个标签，因此 *.example.com 覆盖 www.example.com，但不覆盖 example.com 或 a.b.example.com。
Chrome 自 58 版（2017年）起忽略主体的 commonName，因此名称只出现在 CN 中的证书会报 ERR_CERT_COMMON_NAME_INVALID 错误。Go、Python 和 OpenSSL 客户端同样要求通过 SAN 匹配主机名。主体为空的证书必须把 SAN 标记为关键扩展（RFC 5280 §4.2.1.6）。
公共 TLS 证书可以包含很多 SAN；每个名称都必须单独验证，而且每一个都会公布在证书透明度日志中，这就是公共证书中的内部主机名会变成公开信息的原因。