RFC 7515 §4.1.4 lässt das Format offen; üblich sind zufällige Strings, Datumsangaben oder der JWK-Thumbprint (RFC 7638), der die Kennung an das Schlüsselmaterial bindet. Ein kid ist ein Hinweis für die Schlüsselauswahl, keine Sicherheitszusage: Der Verifizierer muss trotzdem prüfen, dass der gewählte Schlüssel zum erwarteten Aussteller gehört und für den erwarteten Algorithmus gültig ist.
kid stammt aus dem noch ungeprüften Token und ist deshalb eine nicht vertrauenswürdige Eingabe. Bei Implementierungen, die ihn als Dateipfad oder in einer SQL-Abfrage zum Laden von Schlüsseln verwendeten, wurde das bereits ausgenutzt; behandle ihn als opaken Suchschlüssel in einer festen Menge von Schlüsseln.