Para cada claim divulgável seletivamente, o emissor monta uma disclosure — o base64url de um array JSON com um salt, o nome da claim e o valor — e coloca o digest dela (SHA-256, a menos que _sd_alg indique outro) em um array _sd no payload assinado; para elementos de array, usam-se entradas .... A apresentação é issuer-JWT~disclosure~disclosure~…~, seguida de um JWT de vinculação de chave opcional. Digests fictícios escondem quantas claims existem.
O JWT de vinculação de chave (typ kb+jwt) prova que quem apresenta detém a chave indicada na claim cnf do JWT do emissor; ele contém iat, aud, nonce e sd_hash, um digest calculado sobre o SD-JWT apresentado. Os verificadores recalculam o digest de cada disclosure, conferem se cada um aparece exatamente uma vez, verificam a assinatura do emissor e, por fim, a vinculação de chave.
O SD-JWT é um bloco de construção: o SD-JWT VC (um Internet-Draft) acrescenta um tipo de credencial (vct), status e descoberta da chave do emissor e é um dos dois formatos de credencial da carteira digital de identidade da UE (EU Digital Identity Wallet). As apresentações da mesma credencial são correlacionáveis pela assinatura do emissor, por isso as carteiras pedem lotes de credenciais para uso único. O inspetor de SD-JWT decodifica apresentações localmente.