Обычно клиент отправляет key share для одной или двух предпочтительных для себя групп, сегодня часто X25519MLKEM768 (1 216 байт) и x25519 (32 байта). Если ни одна из них не совпадает с группой, которую сервер предпочитает среди перечисленных клиентом в supported_groups, сервер отвечает сообщением HelloRetryRequest с названием нужной группы, и на это уходит лишний цикл приёма-передачи. Key share для P-256 — несжатые точки длиной 65 байт (RFC 9846, § 4.3.8.2).
Клиенты выбирают отправляемые key share заранее, не зная выбора сервера, поэтому крупные постквантовые key share включили только тогда, когда они стали ожидаемым вариантом по умолчанию. Серверы обязаны проверять полученные key share: для P-256 — что точка лежит на кривой, для ML-KEM — ключ инкапсуляции по правилам FIPS 203, для X25519 — что результат не состоит из одних нулей.