Der lokale Teil der Adresse wird in Kleinbuchstaben umgewandelt, mit SHA-1 gehasht und in z-base-32 kodiert; das ergibt einen Namen aus 32 Zeichen. Bei der erweiterten Methode wird der Schlüssel von https://openpgpkey.example.org/.well-known/openpgpkey/example.org/hu/ abgerufen, gefolgt vom Hash und ?l= plus dem lokalen Teil; die direkte Methode verwendet https://example.org/.well-known/openpgpkey/hu/, gefolgt vom Hash. Die Datei enthält den Schlüssel in binärer Form, und eine Datei policy im selben Verzeichnis zeigt an, dass die Domain WKD unterstützt.
WKD bindet das Auffinden von Schlüsseln an die Hoheit über die Domain und ihr WebPKI-Zertifikat statt an einen Keyserver, und GnuPG (gpg --locate-keys), Thunderbird, Proton Mail, Mailvelope und andere fragen WKD ab. gpg --with-wkd-hash -k user@example.org gibt den gehashten Namen aus, unter dem der Schlüssel zu veröffentlichen ist.