Los tipos de mensaje son arrays CBOR etiquetados: COSE_Sign1 (etiqueta 18), con encabezado protegido, encabezado no protegido, carga útil y una firma; COSE_Sign (98), COSE_Mac0 (17) y COSE_Encrypt0 (16), entre otros. La firma cubre una Sig_structure que incluye la cadena de contexto Signature1, los bytes del encabezado protegido, los datos adicionales externos y la carga útil. Las firmas ECDSA son r‖s en bruto, como en JOSE.
Los algoritmos son enteros: −7 ES256, −35 ES384, −36 ES512, −8 EdDSA, −19 Ed25519 y −53 Ed448 (RFC 9864), −257 RS256 (RFC 8812) y −37 PS256 (RFC 8230). Las claves son mapas COSE_Key: kty 2 (EC2) con crv 1 para P-256, o kty 1 (OKP) con crv 6 para Ed25519. El RFC 9052 y el RFC 9053 sustituyeron al RFC 8152 en 2022.
Las claves públicas y las declaraciones de atestación de WebAuthn, los objetos de seguridad móvil de ISO mdoc, los CWT y los manifiestos C2PA son todos COSE; el decodificador de COSE/CWT muestra la estructura de cualquiera de ellos.