In den Hash gehen nur die Pflichtfelder ein, in lexikografischer Reihenfolge und ohne Whitespace: crv, kty, x, y bei EC-Schlüsseln; e, kty, n bei RSA; crv, kty, x bei OKP-Schlüsseln (RFC 8037 §2). Optionale Felder wie kid, alg und use bleiben außen vor, sodass derselbe Schlüssel immer denselben Thumbprint hat. RFC 9278 definiert eine URI-Form: urn:ietf:params:oauth:jwk-thumbprint:sha-256:….
Einsatzbereiche: ACME-Schlüsselautorisierungen (token.thumbprint), an DPoP gebundene Access Tokens (cnf.jkt, RFC 9449), die Bindung an den Inhaber bei SD-JWT VC, Self-Issued OpenID Provider und Werte für kid. Ein Thumbprint unterscheidet sich vom SPKI-Fingerabdruck desselben Schlüssels, weil er über eine andere Kodierung gebildet wird.