O fluxo usa requisições HTTPS assinadas com JWS por uma chave de conta: crie uma conta, envie um pedido listando os identificadores, conclua um desafio por autorização (http-01, dns-01 ou tls-alpn-01), envie um CSR para a URL de finalização do pedido e baixe a cadeia de certificados. Cada requisição leva um valor Replay-Nonce novo e fica vinculada à sua URL no cabeçalho protegido.
As respostas aos desafios são derivadas de uma autorização de chave (key authorization), token ‖ "." ‖ base64url(JWK thumbprint of the account key) (RFC 8555 §8.1), de modo que outra conta não consegue reutilizá-las. Extensões: tls-alpn-01 (RFC 8737), identificadores IP (RFC 8738), informações de renovação do ACME (RFC 9773) e perfis de certificado como classic, tlsserver e shortlived, do Let's Encrypt.
Entre os clientes estão Certbot, lego, acme.sh, Caddy e cert-manager; entre as CAs que oferecem ACME estão Let's Encrypt, ZeroSSL, Google Trust Services, Sectigo, DigiCert e SSL.com, e CAs privadas como step-ca e Vault também implementam o protocolo. Com a vida útil dos certificados a caminho dos 47 dias, o ACME passa a ser, na prática, obrigatório para TLS público.