Un cliente suele enviar key shares para uno o dos grupos preferidos, hoy a menudo X25519MLKEM768 (1216 bytes) más x25519 (32 bytes). Si ninguno coincide con la preferencia del servidor entre los supported_groups del cliente, el servidor responde con un HelloRetryRequest que indica el grupo, lo que cuesta un viaje de ida y vuelta. Los key shares de P-256 son puntos sin comprimir de 65 bytes (RFC 9846 §4.3.8.2).
Los clientes eligen de forma especulativa qué key shares enviar; por eso los key shares poscuánticos, que son grandes, solo se activaron cuando pasaron a ser el valor predeterminado esperado. Los servidores deben validar los key shares recibidos: la comprobación de que el punto está en la curva para P-256, la comprobación de la clave de encapsulación de ML-KEM según FIPS 203 y la comprobación de que el resultado no sea todo ceros en X25519.