Un client envoie généralement des key shares pour un ou deux groupes qu’il préfère, aujourd’hui souvent X25519MLKEM768 (1216 octets) plus x25519 (32 octets). Si aucune ne correspond au groupe que le serveur préfère parmi les supported_groups du client, le serveur répond par un HelloRetryRequest qui nomme ce groupe, ce qui coûte un aller-retour. Les key shares P-256 sont des points non compressés de 65 octets (RFC 9846 §4.3.8.2).
Les clients choisissent de façon spéculative les key shares à envoyer : c’est pourquoi les grandes key shares post-quantiques n’ont été activées qu’une fois devenues le choix par défaut attendu. Les serveurs doivent valider les key shares reçues : vérification de l’appartenance à la courbe pour P-256, contrôles de la clé d’encapsulation ML-KEM selon FIPS 203, contrôle de la valeur entièrement nulle pour X25519.