L'emissione segue il protocollo ACME passo per passo: account presso l'autorità, ordine per i nomi host, autorizzazioni e sfida HTTP-01 con il file di convalida preparato da solo nella cartella del sito, richiesta di firma, finalizzazione e download della catena del certificato.
La chiave è ECDSA P-256 per impostazione, leggera e moderna; per i sistemi più vecchi scegli ECDSA P-384 o RSA a 2048, 3072 o 4096 bit, dominio per dominio. Il profilo del certificato si sceglie quando l'autorità li offre, per esempio quelli a vita più breve. La convalida è HTTP-01: ogni nome viene certificato singolarmente, senza bisogno di accedere al DNS del dominio.