Une signature contient SignedInfo (méthode de canonicalisation, méthode de signature et un élément Reference par objet signé, chacun avec ses transformations et un condensat), SignatureValue et généralement KeyInfo avec un certificat X.509. Les signatures enveloppées se trouvent à l’intérieur de l’élément qu’elles signent (assertions SAML), les signatures détachées pointent ailleurs. La canonicalisation XML exclusive (http://www.w3.org/2001/10/xml-exc-c14n#) normalise les espaces de noms et les blancs, de sorte que des documents XML sémantiquement équivalents produisent le même condensat.
Le danger vient de cette souplesse : les références par attributs ID, les transformations XPath et les règles de canonicalisation permettent aux vérificateurs et aux applications de ne pas s’accorder sur ce qui a été signé. L’encapsulation de signature, les bugs de traitement des commentaires et les attaques par entité externe XML ont cassé à maintes reprises des implémentations SAML et SOAP. XAdES (ETSI EN 319 132) bâtit des signatures électroniques à long terme sur XML-DSig.