Типы сообщений — массивы CBOR с тегами: COSE_Sign1 (тег 18) с защищённым заголовком, незащищённым заголовком, полезной нагрузкой и одной подписью; COSE_Sign (98), COSE_Mac0 (17), COSE_Encrypt0 (16) и другие. Подпись вычисляется над структурой Sig_structure, которая включает строку контекста Signature1, байты защищённого заголовка, внешние дополнительные данные и полезную нагрузку. Подписи ECDSA записываются в формате raw r‖s, как в JOSE.
Алгоритмы обозначаются целыми числами: −7 ES256, −35 ES384, −36 ES512, −8 EdDSA, −19 Ed25519 и −53 Ed448 (RFC 9864), −257 RS256 (RFC 8812) и −37 PS256 (RFC 8230). Ключи — словари COSE_Key: kty 2 (EC2) с crv 1 для P-256 или kty 1 (OKP) с crv 6 для Ed25519. RFC 9052 и RFC 9053 заменили RFC 8152 в 2022 году.
Открытые ключи и заявления об аттестации WebAuthn, мобильные объекты безопасности (MSO) ISO mdoc, CWT и манифесты C2PA — всё это COSE; декодер COSE/CWT показывает структуру любого из них.