En el modo directo (alg: ECDH-ES), la clave derivada es la clave de cifrado del contenido y la parte de clave cifrada del JWE queda vacía; en los modos con envoltura (ECDH-ES+A128KW, +A192KW, +A256KW), esa clave envuelve una CEK aleatoria, lo que permite varios destinatarios. El encabezado lleva la clave pública efímera epk y los campos opcionales apu y apv (información de las partes), que entran en la KDF junto con el nombre del algoritmo y la longitud de la clave (§4.6.2). Se admiten P-256, P-384, P-521 y, mediante el RFC 8037, X25519 y X448.
Los destinatarios deben validar epk: en 2017, varias bibliotecas JOSE aceptaban puntos fuera de la curva, lo que permitía a un atacante recuperar la clave privada del destinatario mediante consultas con curvas no válidas (RFC 8725 §2.5). ECDH-ES no da al destinatario ninguna prueba de quién envió el mensaje; firma primero (JWT anidado) cuando eso importe. HPKE (RFC 9180) es la generalización moderna, y en JOSE hay trabajo en curso para usarlo.