Wat is de uitbreiding voor uitgebreid sleutelgebruik?
De uitbreiding voor uitgebreid sleutelgebruik is grotendeels gelijk aan de uitbreiding voor sleutelgebruik, alleen worden de waarden voor uitgebreid sleutelgebruik als doelen gedefinieerd (bijvoorbeeld ondertekening van OCSP-antwoorden, identificatie van een SSL-client, enz.) en zijn ze eenvoudig uit te breiden. De uitbreiding voor uitgebreid sleutelgebruik wordt gedefinieerd met objectidentificaties, de zogeheten OID's. Als deze uitbreiding wordt weggelaten, zijn in principe alle bewerkingen geldig.

Wat is het verschil tussen de uitbreiding voor sleutelgebruik en die voor uitgebreid sleutelgebruik?
De uitbreiding voor uitgebreid sleutelgebruik is nieuwer en wordt gezien als hét mechanisme voor gebruiksbeperkingen, terwijl de uitbreiding voor sleutelgebruik als minder flexibel wordt beschouwd. De uitbreiding voor sleutelgebruik wordt gedefinieerd in termen van bewerkingen en de uitbreiding voor uitgebreid sleutelgebruik in termen van doelen. Waarden voor uitgebreid sleutelgebruik moeten doorgaans per se aan bepaalde eisen voldoen ("moet deze OID bevatten"); bij waarden voor sleutelgebruik is dit minder strikt ("moet niet-afwijzingsinformatie bevatten en mag informatie voor alleen versleuteling bevatten"). De lijst met doelen bepaalt welke typen certificaten een certificaatautoriteit mag aanmaken. Een bewerking is alleen geldig als deze voorkomt in zowel de autoriteit als in de certificaten die de autoriteit ondertekent.

Wat betekent 'Deze uitbreiding is vereist'?
Dit wordt ook wel de "kritikaliteitsindicator" genoemd. De indicator bestaat uit een vlag waarmee aan software die het certificaat gebruikt, wordt doorgegeven of de uitbreiding voor uitgebreid sleutelgebruik kan worden genegeerd als deze niet wordt herkend. Een certificaat wordt geweigerd als een "vereiste uitbreiding" niet wordt herkend door de software.