Кривая определена в NIST SP 800-186, § 3.2.1.5, и в SEC 2, § 2.6.1. Идентификаторы: OID 1.3.132.0.35, группа TLS secp521r1 (25), в TLS 1.3 — ecdsa_secp521r1_sha512 (0x0603), в JOSE — crv P-521 с alg ES512, в COSE — −36. Благодаря простому числу Мерсенна приведение по модулю поля обходится дёшево, но размер 521 бит замедляет всё остальное: около 7 450 подписей и 4 180 проверок в секунду на одном ядре Apple M4 Max с OpenSSL 3.6.5.
На размерах спотыкается код, написанный в расчёте на «512 бит»: закрытый скаляр занимает 66 байт (521 бит), открытый ключ — 133 байта в несжатом виде или 67 в сжатом, подпись JWS ES512 в формате raw — ровно 132 байта (каждое из значений r и s дополнено до 66 байт), а подпись в DER — около 137–139 байт. Если обрезать координаты до 64 байт или отбросить ведущие нулевые байты, другие библиотеки отклонят полученные ключи и подписи.
Запас стойкости P-521 против классических атак больше, чем требуется против любого реалистичного атакующего до того, как квантовые компьютеры станут угрозой, поэтому её обычно выбирают из-за требований политик, а не по инженерным соображениям безопасности. Как и любая эллиптическая кривая, она уязвима для алгоритма Шора, а NIST IR 8547 (черновик) относится к ней так же, как к P-256.