gpg --detach-sign file écrit file.sig (binaire) et, avec --armor, file.asc ; gpg --verify file.asc file la vérifie. Les signatures SSH (ssh-keygen -Y sign), les bundles Sigstore, les JWS à charge utile détachée et les parties S/MIME multipart/signed fonctionnent de la même façon. Le vérificateur doit recevoir exactement les octets qui ont été signés : une modification des fins de ligne ou une recompression fait échouer la vérification.
Une signature détachée valide prouve seulement qu’une certaine clé a signé ces octets : le vérificateur doit encore établir si la clé appartient bien à l’éditeur attendu, idéalement grâce à une empreinte ou à une identité épinglées, et non d’après la clé que désigne la signature, quelle qu’elle soit.