La validation porte sur les algorithmes approuvés du module (chacun testé dans le cadre du CAVP, par exemple avec des certificats ML-KEM et ML-DSA depuis 2024), les autotests, la gestion des clés, la sécurité physique (les niveaux 2 à 4 ajoutent les témoins d’effraction, la réponse à l’effraction et la protection contre les conditions environnementales) ainsi que les rôles et services. Un module validé liste ses services approuvés dans une politique de sécurité ; utiliser un algorithme ou un mode non approuvé rend l’opération non conforme à FIPS, même à l’intérieur d’un module validé.
Les tests FIPS 140-2 ont pris fin en 2021 et les derniers certificats FIPS 140-2 sont passés sur la liste historique du CMVP en septembre 2026 : les nouveaux achats fédéraux américains exigent donc des modules FIPS 140-3. Les files d’attente de validation sont longues (souvent plus d’un an), ce qui pèse sur les calendriers de sortie des produits.