O TLS 1.3 define cinco cipher suites: TLS_AES_128_GCM_SHA256 (0x1301), TLS_AES_256_GCM_SHA384 (0x1302), TLS_CHACHA20_POLY1305_SHA256 (0x1303), TLS_AES_128_CCM_SHA256 (0x1304) e TLS_AES_128_CCM_8_SHA256 (0x1305). A troca de chaves e os algoritmos de assinatura são negociados separadamente, por meio de supported_groups e signature_algorithms.
Os nomes do TLS 1.2 codificam tudo, por exemplo TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256 (0xC02B): troca de chaves ECDHE, autenticação ECDSA, AES-128-GCM e SHA-256 para a PRF. A RFC 9325 recomenda para o TLS 1.2 apenas ECDHE ou DHE com cipher suites AEAD; o transporte de chaves RSA, as cipher suites CBC, o RC4, o 3DES e as cipher suites de exportação estão todos obsoletos.
O OpenSSL configura as duas listas separadamente (-ciphersuites para o TLS 1.3, -cipher para o TLS 1.2 e anteriores) e usa nomes próprios (ECDHE-ECDSA-AES128-GCM-SHA256). O gerador de configuração TLS produz configurações de servidor atuais.