La interfaz es Seal(key, nonce, plaintext, aad) → ciphertext ‖ tag y Open(key, nonce, ciphertext ‖ tag, aad) → plaintext or failure; el descifrado no devuelve absolutamente nada cuando la etiqueta no supera la verificación. Los AEAD estándar son AES-GCM, ChaCha20-Poly1305, AES-CCM, AES-GCM-SIV (RFC 8452) y AES-OCB (RFC 7253), todos ellos usados habitualmente con etiquetas de 128 bits.
La regla del nonce decide la seguridad: la mayoría de los AEAD exigen un nonce que nunca se repita con la misma clave, y una repetición en AES-GCM o ChaCha20-Poly1305 revela el XOR de los textos en claro y permite falsificaciones. Usa contadores o nonces aleatorios largos (XChaCha20-Poly1305 tiene 192 bits), respeta los límites de uso de la clave o elige un modo resistente al mal uso, como AES-GCM-SIV.
TLS 1.3 solo usa conjuntos de cifrado AEAD; el cifrado de contenido de JWE (A128GCM, A256GCM, A128CBC-HS256), HPKE, age, los tokens locales de PASETO, QUIC y SSH (chacha20-poly1305@openssh.com, aes256-gcm@openssh.com) se basan todos en AEAD.