El verificador envía una solicitud de autorización (por redirección, código QR o la API Digital Credentials del navegador) que describe en DCQL (Digital Credentials Query Language, el lenguaje de consulta de credenciales digitales) las credenciales y los claims que necesita, junto con un nonce y su identificador de cliente; la cartera responde con un vp_token que contiene presentaciones SD-JWT VC con JWT de key binding o respuestas de dispositivo mdoc. Entre los modos de respuesta están direct_post y su variante cifrada direct_post.jwt.
La autenticación del verificador forma parte del protocolo: los prefijos del identificador de cliente, como x509_san_dns o verifier_attestation, permiten que la cartera muestre al usuario quién hace la solicitud. El perfil de interoperabilidad de alta garantía (High Assurance Interoperability Profile, HAIP) fija las opciones para el ecosistema de la cartera de la UE. OpenID4VCI (versión 1.0 final, septiembre de 2025) es el protocolo complementario para la emisión.