Eine age-Datei hat einen Text-Header mit einer Stanza pro Empfänger (X25519, scrypt, ssh-ed25519, ssh-rsa, Plugin-Typen und seit age 1.3 mlkem768x25519 für hybride Post-Quanten-Empfänger), die jeweils denselben Dateischlüssel kapseln; danach folgen ein Header-MAC (HMAC-SHA-256) und die Payload, mit ChaCha20-Poly1305 in Blöcken zu 64 KiB verschlüsselt. Schlüssel sind einzeilige Strings: age1… für Empfänger und AGE-SECRET-KEY-1… für Identitäten (private Schlüssel); Post-Quanten-Empfänger age1pq1… sind 1.959 Zeichen lang.
age verzichtet bewusst auf Signaturen, Keyserver, Web of Trust und Algorithmenwahl; kombiniere es mit ssh-keygen -Y oder minisign, wenn es auf Authentizität ankommt, denn jeder mit dem öffentlichen Schlüssel eines Empfängers kann für ihn verschlüsseln. Zu den Implementierungen gehören das Go-Referenztool, rage (Rust) und typage (TypeScript); SOPS und mehrere Tools für Secret-Management nutzen age. Gemessen mit age 1.3.2: Fünf Byte, verschlüsselt für einen einzigen Post-Quanten-Empfänger, ergeben eine Datei mit 1.664 Byte. Das Tool age-Verschlüsselung läuft lokal im Browser.