颁发者把持有者的公钥写入凭证（SD-JWT 中为 cnf.jwk；mdoc 中为移动安全对象里的设备密钥）。出示时，持有者对一个新生成的、专属于该验证者的挑战签名：SD-JWT 使用一个 JWT，其 typ 为 kb+jwt，并包含 aud、nonce、iat 和 sd_hash（RFC 9901 §4.3）；mdoc 对会话记录签名或计算 MAC（ISO/IEC 18013-5）。验证者检查 nonce 和受众，防止凭证被重放给另一个验证者。
密钥绑定的可靠程度取决于持有者密钥受到的保护，因此钱包把该密钥保存在安全硬件中，颁发者也会在签发前要求提供钱包证明或密钥证明。同样的思路在 OAuth 中表现为发送方约束令牌（DPoP、mTLS）。