签名者在 Signature-Input 中列出签名覆盖的组件——派生组件（如 @method、@authority、@path、@query、@status）和头部字段（如 content-digest）——以及参数 created、expires、nonce、keyid、alg 和 tag；签名基础（signature base）是由这些值构建的规范文本，Signature 保存签名结果。算法包括 ecdsa-p256-sha256（原始 r‖s 格式）、ed25519、rsa-pss-sha512 和 hmac-sha256。
要覆盖消息体，需要 Content-Digest 头部（RFC 9530）。由于中间方可能改写头部，签名者应只覆盖在传输路径上不会被改动的组件。用途包括：用于识别自动化客户端的 Web Bot Auth、FAPI 2.0 消息签名规范、正在弃用旧版 draft-cavage 签名的 Mastodon 式联邦网络，以及 webhook 签名。
HTTP 消息签名工具可以在本地构建签名基础并验证签名。