Der Signierer listet in Signature-Input die abgedeckten Komponenten auf – abgeleitete wie @method, @authority, @path, @query und @status sowie Header-Felder wie content-digest – zusammen mit den Parametern created, expires, nonce, keyid, alg und tag. Die Signaturbasis ist ein kanonischer Text, der aus diesen Werten gebildet wird, und Signature enthält das Ergebnis. Zu den Algorithmen gehören ecdsa-p256-sha256 (rohes r‖s), ed25519, rsa-pss-sha512 und hmac-sha256.
Um den Body abzudecken, ist ein Header Content-Digest nötig (RFC 9530). Weil Zwischenstationen Header umschreiben können, sollten Signierer nur Komponenten abdecken, die den Weg unverändert überstehen. Eingesetzt wird der Standard unter anderem bei Web Bot Auth zur Identifizierung automatisierter Clients, im Message-Signing-Profil von FAPI 2.0, in der Föderation nach dem Vorbild von Mastodon, die sich von den älteren Signaturen nach draft-cavage löst, und beim Signieren von Webhooks.
Das Tool HTTP Message Signatures erstellt die Signaturbasis und prüft Signaturen lokal.