El flujo usa solicitudes HTTPS firmadas con JWS mediante una clave de cuenta: crear una cuenta, enviar un pedido con la lista de identificadores, completar un desafío por cada autorización (http-01, dns-01 o tls-alpn-01), enviar una CSR a la URL de finalización del pedido y descargar la cadena de certificados. Cada solicitud lleva un valor Replay-Nonce nuevo y queda vinculada a su URL en el encabezado protegido.
Las respuestas a los desafíos se derivan de una autorización de clave (key authorization), token ‖ "." ‖ base64url(JWK thumbprint of the account key) (RFC 8555 §8.1), de modo que otra cuenta no puede reutilizarlas. Extensiones: tls-alpn-01 (RFC 8737), identificadores IP (RFC 8738), la información de renovación de ACME (RFC 9773) y perfiles de certificado como classic, tlsserver y shortlived de Let's Encrypt.
Entre los clientes están Certbot, lego, acme.sh, Caddy y cert-manager; entre las CA que ofrecen ACME, Let's Encrypt, ZeroSSL, Google Trust Services, Sectigo, DigiCert y SSL.com, y CA privadas como step-ca y Vault también lo implementan. Con periodos de validez que se encaminan a los 47 días, ACME es en la práctica obligatorio para el TLS público.