Os tipos de mensagem são arrays CBOR com tag: COSE_Sign1 (tag 18), com cabeçalho protegido, cabeçalho não protegido, payload e uma assinatura; COSE_Sign (98), COSE_Mac0 (17) e COSE_Encrypt0 (16), entre outros. A assinatura cobre uma Sig_structure que inclui a string de contexto Signature1, os bytes do cabeçalho protegido, os dados adicionais externos e o payload. As assinaturas ECDSA usam o formato bruto r‖s, como no JOSE.
Os algoritmos são inteiros: −7 ES256, −35 ES384, −36 ES512, −8 EdDSA, −19 Ed25519 e −53 Ed448 (RFC 9864), −257 RS256 (RFC 8812) e −37 PS256 (RFC 8230). As chaves são mapas COSE_Key: kty 2 (EC2) com crv 1 para P-256, ou kty 1 (OKP) com crv 6 para Ed25519. A RFC 9052 e a RFC 9053 substituíram a RFC 8152 em 2022.
As chaves públicas e as declarações de atestado do WebAuthn, os objetos de segurança móvel (mobile security objects) do mdoc ISO, os CWTs e os manifestos C2PA são todos COSE; o decodificador de COSE/CWT mostra a estrutura de qualquer um deles.