Hva er et tillegg for utvidet nøkkelbruk?
Tillegg for utvidet nøkkelbruk (EKU) er på mange måter det samme som tillegg for nøkkelbruk (KUE), med unntak av at EKU-verdier defineres med tanke på «formål» (for eksempel å signere OCSP-svar, identifisere SSL-klienter og så videre), og kan enkelt utvides. EKU defineres med objektidentifikatorer kalt OID-er. Hvis EKU-utvidelsen er utelatt, er alle operatorer potensielt gyldige.

Hva er forskjellen mellom KUE og EKU?
EKU er nyere og blir vanligvis ansett som den beste mekanismen for begrensning av bruk. KUE anses som mindre fleksibel. KUE defineres med tanke på «bruk». EKU defineres med tanke på «formål». EKU-er kontrolleres vanligvis offensivt (dvs. «må ha denne EKU OID-en», mens KUE-er vanligvis kontrolleres defensivt (dvs. «må ha ikke-avvisningsbit og kan ha kun krypter/dekrypter-bit»). For en sertifikatautoritet begrenser formålslisten hva slags sertifikater autoriteten kan opprette. En operasjon må inkluderes i både autoriteten og sertifikatene den signerer for at den skal være gyldig.

Hva menes med «Dette tillegget er nødvendig»?
Det er også kjent som «nødvendighetsindikatoren». Dette er et flagg som instruerer programvare som bruker sertifikatet, om det er trygt å ignorere tillegg for utvidet nøkkelbruk som ikke gjenkjennes av programmet. Sertifikater vil bli avvist hvis programvaren ikke gjenkjenner et nødvendig tillegg.