Uma mensagem OpenPGP é uma sequência de pacotes: chaves de sessão criptografadas com chave pública, dados com criptografia simétrica e proteção de integridade (versão 2, com AEAD, na RFC 9580), dados literais e assinaturas, opcionalmente em armadura ASCII. Uma chave, ou certificado, reúne uma chave primária, IDs de usuário, subchaves e as autoassinaturas que as vinculam. A confiança fica a cargo do usuário: impressões digitais conferidas pessoalmente, certificações feitas por outras pessoas (rede de confiança, web of trust), consultas ao WKD ou o keys.openpgp.org.
A RFC 9580 (o “crypto refresh”) substituiu a RFC 4880 com chaves v6 e impressões digitais SHA-256, Ed25519, Ed448, X25519 e X448 nativos, criptografia AEAD (OCB obrigatório, GCM e EAX opcionais) e proteção da frase secreta com Argon2; a RFC 9980 (junho de 2026) acrescenta algoritmos compostos pós-quânticos, como ML-KEM-768+X25519 e ML-DSA-65+Ed25519. O GnuPG segue a especificação concorrente LibrePGP nos seus formatos mais novos, por isso as chaves v4 continuam sendo o denominador comum.
Usos além do e-mail: assinatura de pacotes e repositórios de distribuições Linux, tags e commits do Git, assinaturas de versões (arquivos .asc), gerenciadores de senhas e backups. O inspetor de OpenPGP lista os pacotes de uma chave, assinatura ou mensagem.