X.509 v3 证书是由 tbsCertificate、signatureAlgorithm 和 signatureValue 组成的 DER SEQUENCE。待签名部分包含版本、序列号、签名算法、颁发者名称、有效期（notBefore 和 notAfter）、主体名称、SubjectPublicKeyInfo 和扩展；颁发者签名的正是这些 DER 字节。吊销列表（CRL）和属性证书也使用同一类结构。
如今大部分工作由扩展完成：主题备用名称（浏览器据以匹配的主机名）、密钥用法和扩展密钥用法、基本约束（该证书能否为其他证书签名）、名称约束、颁发机构密钥标识符和主体密钥标识符、颁发机构信息访问（颁发者和 OCSP 的 URL）、CRL 分发点、证书策略以及内嵌的证书透明度 SCT。只要存在标记为关键、而验证者无法识别的扩展，就必须拒绝该证书。
“X.509”也泛指由 CA、证书链和吊销构成的更广泛的 PKI 模型，其应用远远超出 TLS：S/MIME、代码签名、文档签名（PAdES）、智能卡（PIV）、mTLS 和设备身份。后量子算法通过新的算法标识符接入，例如 RFC 9881 规定的 ML-DSA。证书解码器可以在本地显示证书的每个字段。