Der Verifizierer sendet eine Autorisierungsanfrage (per Redirect, QR-Code oder über die Digital Credentials API des Browsers), die in der Abfragesprache DCQL (Digital Credentials Query Language) die benötigten Credentials und Claims beschreibt und eine nonce sowie seine Client-Kennung enthält; die Wallet antwortet mit einem vp_token, das Präsentationen im Format SD-JWT VC samt Key-Binding-JWTs oder mdoc-Geräteantworten enthält. Zu den Response-Modi gehören direct_post und seine verschlüsselte Variante direct_post.jwt.
Die Authentifizierung des Verifizierers ist Teil des Protokolls: Präfixe der Client-Kennung wie x509_san_dns oder verifier_attestation erlauben es der Wallet, dem Benutzer anzuzeigen, wer anfragt. Das High Assurance Interoperability Profile (HAIP) legt die Optionen für das Wallet-Ökosystem der EU fest. OpenID4VCI (Final 1.0, September 2025) ist das Begleitprotokoll für die Ausstellung.