Para cada claim con divulgación selectiva, el emisor construye una divulgación (disclosure) —el base64url de un array JSON con una sal, el nombre del claim y el valor— y coloca su resumen (SHA-256, salvo que _sd_alg indique otro) en un array _sd de la carga útil firmada; los elementos de arrays usan en su lugar entradas .... La presentación es issuer-JWT~disclosure~disclosure~…~, seguida de un JWT de key binding opcional. Los resúmenes señuelo ocultan cuántos claims hay.
El JWT de key binding (typ kb+jwt) demuestra que quien hace la presentación posee la clave indicada en el claim cnf del JWT del emisor; contiene iat, aud, nonce y sd_hash, un resumen del SD-JWT presentado. Los verificadores recalculan el resumen de cada divulgación, comprueban que cada uno aparece exactamente una vez, verifican la firma del emisor y después el key binding.
SD-JWT es una pieza básica: SD-JWT VC (un Internet-Draft) añade un tipo de credencial (vct), estado y descubrimiento de las claves del emisor, y es uno de los dos formatos de credencial de la cartera europea de identidad digital. Las presentaciones de una misma credencial se pueden vincular entre sí a través de la firma del emisor, por eso las carteras solicitan lotes de credenciales de un solo uso. El inspector de SD-JWT decodifica las presentaciones localmente.