Contiene todo lo que un servidor necesita para elegir los parámetros: supported_versions, cipher_suites, supported_groups (10), key_share (51), signature_algorithms (13), server_name (0), ALPN (16), pre_shared_key (41, siempre la última) y más. Como no está cifrado, revela el nombre del host de destino (salvo que se use Encrypted Client Hello) y una huella digital del software del cliente.
El tamaño vuelve a importar: un key share híbrido X25519MLKEM768 añade unos 1,2 KB, así que un ClientHello moderno suele ocupar dos segmentos TCP o dos paquetes QUIC. Algunos servidores, balanceadores de carga y cortafuegos que daban por hecho que cabía en un solo paquete fallaron cuando los navegadores activaron el intercambio de claves poscuántico, una clase de errores de servidor documentada en tldr.fail después de que Chrome activara por defecto los key shares híbridos con Kyber en la versión 124 (2024).
Los valores GREASE (RFC 8701) y el orden aleatorio de las extensiones en Chrome (desde principios de 2023) evitan que los servidores se osifiquen en torno a un contenido exacto. La herramienta de huella TLS muestra lo que envía tu navegador.