Оба компонента выполняются параллельно, а их общие секреты вместе подаются в расписание ключей. RFC 9954 (2026) описывает общую конструкцию для TLS 1.3: каждая гибридная схема — одна именованная группа, key share которой представляет собой конкатенацию открытых значений компонентов, а конкатенация секретов заменяет секрет ECDHE. RFC 10024 регистрирует группы X25519MLKEM768 (0x11EC), SecP256r1MLKEM768 (0x11EB) и SecP384r1MLKEM1024 (0x11ED).
Причина — угроза «собери сейчас, расшифруй потом»: трафик, записанный сегодня, должен оставаться конфиденциальным и после появления квантового компьютера, а ML-KEM ещё достаточно молод, чтобы разумно было подстраховаться классическим алгоритмом. NIST SP 800-56C допускает такое сочетание, а NIST IR 8547 (черновик) предлагает не распространять на такие гибридные схемы запрет классических алгоритмов с 2035 года при условии, что постквантовая часть одобрена.
Схема уже широко внедрена: Chrome и Edge 131, Firefox 132 и Safari 26 по умолчанию предлагают X25519MLKEM768, как и OpenSSL 3.5 и Go 1.24, а OpenSSH по умолчанию использует mlkem768x25519-sha256. Проверка постквантового TLS в браузере показывает, какой обмен ключами согласует ваш собственный браузер.