Une empreinte v6 est le condensat SHA-256 du paquet de clé précédé d’un préfixe v6 (64 chiffres hexadécimaux), et son identifiant de clé correspond aux 64 premiers bits ; une empreinte v4 est un condensat SHA-1 (40 chiffres hexadécimaux) dont l’identifiant de clé est tiré des 64 derniers bits (RFC 9580 §5.5.4). Les signatures v6 incluent un sel aléatoire haché avant les données, ce qui rend impraticables les attaques par collision à préfixe choisi contre le condensat signé. Les ID d’algorithme à clé publique 25 à 28 désignent X25519, X448, Ed25519 et Ed448 ; la RFC 9980 ajoute les ID 30 à 36 pour des algorithmes post-quantiques, dont la plupart exigent des clés v6.
Parmi les implémentations qui prennent en charge v6 figurent Sequoia PGP et OpenPGP.js ; GnuPG écrit plutôt des clés LibrePGP v5 pour ses formats les plus récents, et les serveurs de clés comme les outils plus anciens peuvent rejeter les clés d’une version qu’ils ne connaissent pas. Publier une clé v6 à côté d’une clé v4 est la voie prudente tant que l’écosystème n’a pas rattrapé son retard.