X25519(k, u) ejecuta una escalera de Montgomery de tiempo constante solo sobre coordenadas u. Una clave privada consta de 32 bytes aleatorios que la función ajusta (clamping: pone a cero los tres bits bajos y el bit 255, y pone a uno el bit 254); la clave pública es X25519(k, 9) (RFC 7748 §5). Como tanto la curva como su curva torcida (twist) son seguras, cualquier cadena de 32 bytes puede usarse como clave del otro extremo sin validar el punto, pero las entradas de orden pequeño producen un secreto compartido de todo ceros, que los protocolos deberían detectar y rechazar (RFC 7748 §6.1).
Identificadores: grupo admitido de TLS x25519 (29, 0x001D); SSH curve25519-sha256 (RFC 8731); OID 1.3.101.110 (RFC 8410); JOSE ECDH-ES con una clave OKP y crv X25519 (RFC 8037); HPKE DHKEM(X25519, HKDF-SHA256), ID de KEM 0x0020 (RFC 9180). OpenSSL 3.6.5 calcula unas 52.000 operaciones X25519 por segundo en un núcleo de un Apple M4 Max.
X25519 es un acuerdo de claves, no una firma: para firmar se usa Ed25519. Los dos comparten curva y las claves pueden convertirse de una forma a la otra, pero no se recomienda usar una misma clave para ambos fines. El algoritmo de Shor rompe X25519, por lo que TLS ahora lo combina con ML-KEM-768 en el grupo híbrido X25519MLKEM768 (0x11EC, RFC 10024), y OpenSSH usa por defecto mlkem768x25519-sha256.