La partie locale de l’adresse est mise en minuscules, hachée avec SHA-1 et encodée en z-base-32, ce qui donne un nom de 32 caractères. Dans la méthode avancée, la clé est récupérée à l’adresse https://openpgpkey.example.org/.well-known/openpgpkey/example.org/hu/ suivie du condensat, puis de ?l= et de la partie locale ; la méthode directe utilise l’adresse https://example.org/.well-known/openpgpkey/hu/ suivie du condensat. Le fichier contient la clé au format binaire, et un fichier policy placé dans le même répertoire indique que le domaine prend en charge WKD.
WKD lie la découverte des clés au contrôle du domaine et de son certificat WebPKI plutôt qu’à un serveur de clés ; GnuPG (gpg --locate-keys), Thunderbird, Proton Mail, Mailvelope et d’autres l’interrogent. gpg --with-wkd-hash -k user@example.org affiche le nom haché à publier.