Familias: Diffie–Hellman de cuerpo finito (DHE), Diffie–Hellman de curva elíptica (ECDHE sobre P-256 o X25519), transporte de claves RSA (el cliente cifra un secreto con la clave RSA del servidor; se eliminó de TLS 1.3 porque no ofrece forward secrecy) y KEM como ML-KEM, en los que una parte encapsula un secreto con la clave pública de la otra. NIST SP 800-56A, 56B y 56C y FIPS 203 cubren los esquemas aprobados.
El intercambio de claves es el objetivo de «cosechar ahora, descifrar después» (harvest now, decrypt later): el tráfico grabado puede descifrarse más adelante si se rompe el intercambio de claves, incluso después de que los certificados hayan caducado. Por eso la migración poscuántica empezó por el intercambio de claves híbrido (X25519MLKEM768 en TLS, mlkem768x25519-sha256 en SSH), mientras que las firmas siguen siendo clásicas por ahora.
En TLS 1.3, el grupo se negocia en supported_groups y los valores públicos viajan en key_share; en SSH, el nombre del método (curve25519-sha256, mlkem768x25519-sha256) designa toda la construcción.