客户端通常为自己首选的一两个组发送密钥共享，如今常见的是 X25519MLKEM768（1,216 字节）加上 x25519（32 字节）。如果服务器从客户端的 supported_groups 中优先选择的组没有对应的密钥共享，服务器就会回复 HelloRetryRequest 并指明该组，代价是多一次往返。P-256 的密钥共享是 65 字节的未压缩点（RFC 9846 §4.3.8.2）。
客户端发送哪些密钥共享是一种预判，因此体积较大的后量子密钥共享直到成为预期的默认选择后才被启用。服务器必须校验收到的密钥共享：P-256 要检查该点是否位于曲线上，ML-KEM 要按 FIPS 203 检查封装密钥，X25519 要做全零检查。