Os dois componentes rodam em paralelo, e seus segredos compartilhados entram juntos no escalonamento de chaves (key schedule). A RFC 9954 (2026) descreve o desenho geral para o TLS 1.3: cada híbrido é um único named group cujo key share é a concatenação dos valores públicos dos componentes, e os segredos concatenados substituem o segredo ECDHE. A RFC 10024 registra os grupos X25519MLKEM768 (0x11EC), SecP256r1MLKEM768 (0x11EB) e SecP384r1MLKEM1024 (0x11ED).
A motivação é o “coletar agora, descriptografar depois”: o tráfego gravado hoje precisa continuar confidencial depois que surgir um computador quântico, e o ML-KEM ainda é novo o bastante para que uma rede de segurança clássica seja prudente. O NIST SP 800-56C permite a combinação, e o NIST IR 8547 (rascunho) propõe isentar esses híbridos da proibição dos algoritmos clássicos em 2035, desde que a parte pós-quântica seja aprovada.
A adoção é ampla: Chrome e Edge 131, Firefox 132 e Safari 26 oferecem X25519MLKEM768 por padrão, assim como o OpenSSL 3.5 e o Go 1.24, e o OpenSSH usa mlkem768x25519-sha256 por padrão. A verificação pós-quântica do navegador mostra o que o seu próprio navegador negocia.