В отличие от хеша с дайджестом фиксированной длины, у XOF запрашивают d бит выхода; её стойкость к коллизиям равна min(d/2, ёмкость/2), а к нахождению прообраза — min(d, ёмкость/2). Ёмкость SHAKE128 составляет 256 бит, а SHAKE256 — 512. Если запросить у SHAKE256 32 или 64 байта, получатся префиксы одного и того же потока, поэтому вызывающий код должен разделять домены для разных применений; cSHAKE (SP 800-185) добавляет явные строки настройки (customization strings).
SHAKE повсюду в постквантовой криптографии: ML-KEM и ML-DSA разворачивают свои открытые матрицы с помощью SHAKE128 и выводят остальные значения с помощью SHAKE256 (в FIPS 203 и FIPS 204 они называются XOF, H, J и G), у SLH-DSA есть наборы параметров на SHAKE, а Ed448 хеширует с помощью SHAKE256. FIPS 186-5 также разрешает SHAKE в качестве хеш-функции и функции маски в RSASSA-PSS.
Идентификаторы: OID 2.16.840.1.101.3.4.2.11 (SHAKE128) и …2.12 (SHAKE256); в OpenSSL — shake128 и shake256 с -xoflen; в Python — hashlib.shake_256(data).digest(n).