Eine OpenPGP-Nachricht ist eine Folge von Paketen: mit öffentlichem Schlüssel verschlüsselte Sitzungsschlüssel, symmetrisch verschlüsselte und integritätsgeschützte Daten (Version 2 mit AEAD in RFC 9580), literale Daten und Signaturen, optional in ASCII-Armor verpackt. Ein Schlüssel, auch Zertifikat genannt, bündelt einen Primärschlüssel, User-IDs, Unterschlüssel und Selbstsignaturen, die sie aneinander binden. Das Vertrauen liegt beim Benutzer: persönlich abgeglichene Fingerabdrücke, Beglaubigungen durch andere (Web of Trust), WKD-Abfragen oder keys.openpgp.org.
RFC 9580 (der „Crypto Refresh“) löste RFC 4880 ab und brachte v6-Schlüssel mit SHA-256-Fingerabdrücken, natives Ed25519, Ed448, X25519 und X448, AEAD-Verschlüsselung (OCB verpflichtend, GCM und EAX optional) und Passphrase-Schutz mit Argon2; RFC 9980 (Juni 2026) ergänzt Composite-Algorithmen für Post-Quanten-Kryptografie wie ML-KEM-768+X25519 und ML-DSA-65+Ed25519. GnuPG folgt für seine neuesten Formate der konkurrierenden Spezifikation LibrePGP, deshalb bleiben v4-Schlüssel der gemeinsame Nenner.
Einsatz über E-Mail hinaus: Signieren von Paketen und Repositorys in Linux-Distributionen, Git-Tags und -Commits, Release-Signaturen (.asc-Dateien), Passwortmanager und Backups. Der OpenPGP-Inspektor listet die Pakete eines Schlüssels, einer Signatur oder einer Nachricht auf.