Все шаги — HTTPS-запросы, подписанные в формате JWS ключом аккаунта: создать аккаунт, отправить заказ со списком идентификаторов, пройти по одной проверке на каждую авторизацию (http-01, dns-01 или tls-alpn-01), отправить CSR на URL финализации заказа и скачать цепочку сертификатов. Каждый запрос несёт новое значение Replay-Nonce и привязан к своему URL в защищённом заголовке.
Ответы на проверки выводятся из строки авторизации ключа (key authorization) token ‖ "." ‖ base64url(JWK thumbprint of the account key) (RFC 8555, § 8.1), поэтому другой аккаунт не может использовать их повторно. Расширения: tls-alpn-01 (RFC 8737), идентификаторы в виде IP-адресов (RFC 8738), сведения о продлении ACME (RFC 9773) и профили сертификатов, например classic, tlsserver и shortlived у Let's Encrypt.
Среди клиентов — Certbot, lego, acme.sh, Caddy и cert-manager; ACME предлагают Let's Encrypt, ZeroSSL, Google Trust Services, Sectigo, DigiCert и SSL.com, а также частные CA, например step-ca и Vault. Сроки действия сертификатов сокращаются до 47 дней, так что для публичного TLS ACME фактически обязателен.