A parte local do endereço é convertida para minúsculas, e o hash SHA-1 dela, codificado em z-base-32, forma um nome de 32 caracteres. No método avançado, a chave é obtida de https://openpgpkey.example.org/.well-known/openpgpkey/example.org/hu/ seguido do hash e de ?l= com a parte local; o método direto usa https://example.org/.well-known/openpgpkey/hu/ seguido do hash. O arquivo é a chave em formato binário, e um arquivo policy no mesmo diretório indica que o domínio oferece suporte a WKD.
O WKD vincula a descoberta de chaves ao controle do domínio e do seu certificado WebPKI, e não a um servidor de chaves, e o GnuPG (gpg --locate-keys), o Thunderbird, o Proton Mail, o Mailvelope e outros clientes o consultam. O comando gpg --with-wkd-hash -k user@example.org exibe o nome em hash que deve ser publicado.