Подпись содержит SignedInfo (метод канонизации, метод подписи и по одному элементу Reference с преобразованиями и дайджестом на каждый подписываемый объект), SignatureValue и обычно KeyInfo с сертификатом X.509. Вложенные (enveloped) подписи находятся внутри подписываемого ими элемента (утверждения SAML), а отсоединённые (detached) указывают на данные в другом месте. Эксклюзивная канонизация XML (Exclusive XML Canonicalization, http://www.w3.org/2001/10/xml-exc-c14n#) нормализует пространства имён и пробельные символы, чтобы семантически эквивалентный XML давал одинаковый хеш.
Опасность — в гибкости: ссылки по атрибутам ID, преобразования XPath и правила канонизации позволяют проверяющим сторонам и приложениям по-разному понимать, что именно было подписано. Обёртывание подписи, ошибки обработки комментариев и атаки через внешние сущности XML не раз ломали реализации SAML и SOAP. XAdES (ETSI EN 319 132) строит на XML-DSig долгосрочные электронные подписи.