Гибкость складывается из трёх частей: знать, где используется криптография (инвентаризация, которую всё чаще оформляют как криптографический перечень компонентов — CBOM), уметь её менять (идентификаторы алгоритмов в форматах, согласование в протоколах, никаких жёстко заданных размеров ключей и подписей, слои абстракции в коде) и уметь развернуть изменения (ротация ключей, одновременная публикация старого и нового варианта, мониторинг того, что на самом деле согласуют другие стороны).
Контрпримеры встречаются часто: базы данных со столбцами для подписи фиксированной ширины, протоколы, рассчитанные на 64-байтные подписи, смарт-карты, поддерживающие только одну кривую, и библиотеки, принимающие только ключи RSA. У гибкости есть и цена: каждый согласуемый вариант — это поверхность атаки, как показывают атаки понижения версии и подмены алгоритма, поэтому даже гибким системам следует разрешать лишь короткий список современных алгоритмов.