La parte local de la dirección se pasa a minúsculas; su hash SHA-1, codificado en z-base-32, da un nombre de 32 caracteres. En el método avanzado, la clave se obtiene de https://openpgpkey.example.org/.well-known/openpgpkey/example.org/hu/ seguido del hash y de ?l= más la parte local; el método directo usa https://example.org/.well-known/openpgpkey/hu/ seguido del hash. El archivo es la clave en binario, y un archivo policy en el mismo directorio indica que el dominio admite WKD.
WKD vincula el descubrimiento de claves al control del dominio y de su certificado de la WebPKI, no a un servidor de claves, y lo consultan GnuPG (gpg --locate-keys), Thunderbird, Proton Mail, Mailvelope y otros. gpg --with-wkd-hash -k user@example.org muestra el nombre con hash que hay que publicar.