TLS 1.3 definiert fünf Suites: TLS_AES_128_GCM_SHA256 (0x1301), TLS_AES_256_GCM_SHA384 (0x1302), TLS_CHACHA20_POLY1305_SHA256 (0x1303), TLS_AES_128_CCM_SHA256 (0x1304) und TLS_AES_128_CCM_8_SHA256 (0x1305). Schlüsselaustausch und Signaturalgorithmen werden separat über supported_groups und signature_algorithms ausgehandelt.
Die Namen unter TLS 1.2 kodieren alles, zum Beispiel TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256 (0xC02B): ECDHE-Schlüsselaustausch, ECDSA-Authentifizierung, AES-128-GCM, SHA-256 für die PRF. RFC 9325 empfiehlt für TLS 1.2 nur ECDHE oder DHE mit AEAD-Suites; RSA-Schlüsseltransport, CBC-Suites, RC4, 3DES und Export-Suites gelten allesamt als veraltet.
OpenSSL konfiguriert die beiden Listen getrennt (-ciphersuites für TLS 1.3, -cipher für TLS 1.2 und älter) und verwendet eigene Namen (ECDHE-ECDSA-AES128-GCM-SHA256). Der TLS-Konfigurationsgenerator erzeugt aktuelle Einstellungen für den Server.