Aufschlussreich sind die Anforderungen an Implementierungen (§3.1): HS256 ist der einzige JWS-Algorithmus mit der Stufe Required, RS256 ist Recommended und ES256 Recommended+ (soll voraussichtlich Required werden); PS256, die übrigen ES- und RS-Varianten und none sind Optional. Bemerkenswerte Regeln: HMAC-Schlüssel müssen mindestens so lang sein wie die Ausgabe des Hashs (§3.2); ECDSA-Signaturen liegen als rohes r‖s vor (§3.4); RSA-Schlüssel müssen mindestens 2048 Bit lang sein (§3.3); ES512 nutzt P-521.
Für JWE legt er das Schlüsselmanagement fest (RSA1_5, RSA-OAEP, RSA-OAEP-256, A128KW–A256KW, dir, ECDH-ES und ECDH-ES+AxxxKW, AxxxGCMKW, PBES2-HS256+A128KW und verwandte Verfahren) sowie die Inhaltsverschlüsselung (A128CBC-HS256, A192CBC-HS384, A256CBC-HS512, A128GCM, A192GCM, A256GCM). Neue Algorithmen werden in der IANA-Registry eingetragen, darunter ES256K (RFC 8812), Ed25519 und Ed448 (RFC 9864) und, in Entwürfen, ML-DSA.