X25519(k, u) führt eine zeitkonstante Montgomery-Leiter aus, die nur mit u-Koordinaten rechnet. Ein privater Schlüssel besteht aus 32 zufälligen Bytes, die die Funktion per Clamping anpasst (die drei niederwertigsten Bits und Bit 255 werden gelöscht, Bit 254 wird gesetzt); der öffentliche Schlüssel ist X25519(k, 9) (RFC 7748 §5). Weil sowohl die Kurve als auch ihr Twist sicher sind, kann jeder 32-Byte-String ohne Punktvalidierung als Schlüssel der Gegenseite dienen; Eingaben kleiner Ordnung erzeugen jedoch ein gemeinsames Geheimnis aus lauter Nullen, das Protokolle erkennen und ablehnen sollten (RFC 7748 §6.1).
Kennungen: in TLS die Supported Group x25519 (29, 0x001D); in SSH curve25519-sha256 (RFC 8731); OID 1.3.101.110 (RFC 8410); in JOSE ECDH-ES mit einem Schlüssel vom Typ OKP und crv X25519 (RFC 8037); in HPKE DHKEM(X25519, HKDF-SHA256), KEM-ID 0x0020 (RFC 9180). OpenSSL 3.6.5 schafft auf einem Kern eines Apple M4 Max etwa 52.000 X25519-Operationen pro Sekunde.
X25519 ist ein Verfahren zur Schlüsseleinigung, keine Signatur: Signiert wird mit Ed25519. Beide nutzen dieselbe Kurve, und Schlüssel lassen sich zwischen den Formen umrechnen, doch von der Verwendung eines Schlüssels für beide Zwecke wird abgeraten. Der Shor-Algorithmus bricht X25519, deshalb kombiniert TLS es inzwischen in der hybriden Gruppe X25519MLKEM768 (0x11EC, RFC 10024) mit ML-KEM-768, und OpenSSH verwendet standardmäßig mlkem768x25519-sha256.