O cliente gera um par de chaves (normalmente ES256) e envia um cabeçalho DPoP com um JWT que tem typ dpop+jwt, a chave pública no cabeçalho jwk e as claims jti, htm (método HTTP), htu (URL sem query nem fragmento), iat e, quando apresenta um token de acesso, ath (o hash SHA-256 dele). O servidor de autorização vincula o token emitido à impressão digital (thumbprint) da chave (cnf.jkt), e os servidores de recursos verificam a prova a cada chamada; os servidores podem exigir um nonce fornecido por eles mesmos para limitar provas pré-calculadas.
O DPoP funciona na camada de aplicação, então sobrevive a proxies que terminam o TLS e serve para navegadores e apps móveis, ao contrário dos tokens vinculados ao mTLS (RFC 8705). Os servidores de recursos devem verificar a unicidade do jti dentro de uma janela curta, o método e a URL, e se a chave da prova corresponde ao token. O inspetor de DPoP valida uma prova e a vinculação dela ao token.