Die zentralen RFCs erschienen gemeinsam im Mai 2015: JWS (7515), JWE (7516), JWK (7517), JWA (7518), JWT (7519) und ausgearbeitete Beispiele (7520). Später kamen unter anderem nicht kodierte Payloads (7797), JWK-Thumbprints (7638), OKP-Schlüssel für Ed25519 und X25519 (8037), ES256K (8812), Best Practices für JWT (8725) und vollständig spezifizierte Algorithmen (9864) hinzu. Die JOSE-Arbeitsgruppe entwickelt inzwischen auch JSON Web Proofs für selektive Offenlegung und Zero-Knowledge-Credentials.
Das Pendant auf Basis von CBOR ist COSE, das dort eingesetzt wird, wo eine kompakte binäre Kodierung zählt (WebAuthn, mdoc, CWT). Ausgereifte JOSE-Bibliotheken sind unter anderem jose (JavaScript), Nimbus JOSE + JWT (Java), golang-jwt und go-jose (Go), PyJWT und Authlib oder joserfc (Python) sowie Microsoft.IdentityModel (.NET).