Un message OpenPGP est une suite de paquets : clés de session chiffrées par clé publique, données chiffrées symétriquement et protégées en intégrité (version 2 avec AEAD dans la RFC 9580), données littérales et signatures, le tout éventuellement en armure ASCII. Une clé, ou certificat, regroupe une clé primaire, des ID utilisateur, des sous-clés et les auto-signatures qui les relient. La confiance relève de l’utilisateur : empreintes vérifiées en personne, certifications par des tiers (toile de confiance, web of trust), recherches WKD ou keys.openpgp.org.
La RFC 9580 (le « crypto refresh ») a remplacé la RFC 4880 en introduisant les clés v6 et les empreintes SHA-256, Ed25519, Ed448, X25519 et X448 natifs, le chiffrement AEAD (OCB obligatoire, GCM et EAX facultatifs) et la protection des phrases de passe par Argon2 ; la RFC 9980 (juin 2026) ajoute des algorithmes composites post-quantiques comme ML-KEM-768+X25519 et ML-DSA-65+Ed25519. GnuPG suit la spécification concurrente LibrePGP pour ses formats les plus récents : les clés v4 restent donc le dénominateur commun.
Usages au-delà de l’e-mail : signature des paquets et des dépôts des distributions Linux, tags et commits Git, signatures de versions publiées (fichiers .asc), gestionnaires de mots de passe et sauvegardes. L’inspecteur OpenPGP liste les paquets d’une clé, d’une signature ou d’un message.