In OpenID Connect ist der Aussteller eine HTTPS-URL, die exakt mit dem Wert issuer im Discovery-Dokument des Anbieters übereinstimmen muss, einschließlich eines etwaigen Pfads am Ende; aus diesem Dokument holt der Verifizierer jwks_uri. Mandantenfähige Anbieter (zum Beispiel Microsoft Entra ID) nehmen den Mandanten in den Aussteller auf; wer „jeden Aussteller dieses Anbieters“ akzeptiert, ohne ihn zu prüfen, lässt also Tokens anderer Mandanten herein.
Die Regel lautet, Schlüssel an Aussteller zu binden: Ein Schlüssel aus dem JWKS von Aussteller A darf kein Token validieren, das Aussteller B angibt (RFC 8725 §3.8). Gegen den Mix-up-Angriff in OAuth, bei dem ein Client verwechselt, welcher Autorisierungsserver geantwortet hat, hilft der Parameter iss in der Autorisierungsantwort (RFC 9207).