O verificador envia uma requisição de autorização (por redirecionamento, QR code ou pela Digital Credentials API do navegador) que descreve em DCQL, a Digital Credentials Query Language (linguagem de consulta de credenciais digitais), as credenciais e as claims de que precisa, além de um nonce e do seu identificador de cliente; a carteira responde com um vp_token que contém apresentações SD-JWT VC com JWTs de vinculação de chave ou respostas de dispositivo mdoc. Os modos de resposta incluem direct_post e sua variante criptografada, direct_post.jwt.
A autenticação do verificador faz parte do protocolo: prefixos de identificador de cliente como x509_san_dns ou verifier_attestation permitem que a carteira mostre ao usuário quem está fazendo a solicitação. O High Assurance Interoperability Profile (HAIP) fixa as opções para o ecossistema de carteiras da UE. O OpenID4VCI (Final 1.0, setembro de 2025) é o protocolo complementar para a emissão.