En mode direct (alg: ECDH-ES), la clé dérivée est la clé de chiffrement du contenu et la partie « clé chiffrée » du JWE est vide ; dans les modes avec enveloppement de clé (ECDH-ES+A128KW, +A192KW, +A256KW), elle enveloppe une CEK aléatoire, ce qui permet plusieurs destinataires. L’en-tête porte la clé publique éphémère epk et les champs facultatifs apu et apv (informations sur les parties), qui entrent dans la KDF avec le nom de l’algorithme et la longueur de clé (§4.6.2). P-256, P-384, P-521 et, via la RFC 8037, X25519 et X448 sont autorisés.
Les destinataires doivent valider epk : en 2017, plusieurs bibliothèques JOSE acceptaient des points hors de la courbe, ce qui permettait à un attaquant de retrouver la clé privée du destinataire par des requêtes sur des courbes invalides (RFC 8725 §2.5). ECDH-ES ne donne au destinataire aucune preuve de l’identité de l’expéditeur ; signez d’abord (JWT imbriqué) lorsque cela compte. HPKE (RFC 9180) en est la généralisation moderne, et des travaux JOSE sont en cours pour l’utiliser.