Der Client sendet eine OAuth-Autorisierungsanfrage mit scope=openid (plus profile, email), erhält einen Autorisierungscode, tauscht ihn gegen ein ID-Token und ein Access Token und validiert das ID-Token (Signatur anhand des JWKS des Providers, iss, aud, exp, nonce). Discovery (/.well-known/openid-configuration) veröffentlicht Endpunkte, unterstützte Algorithmen und jwks_uri; Spezifikationen für dynamische Registrierung und Logout decken den Rest des Lebenszyklus ab.
Die Kernspezifikation wurde auch als ISO/IEC-Standard veröffentlicht (ISO/IEC 26131:2024). Zu den verwandten Arbeiten der OpenID Foundation gehören die FAPI-Sicherheitsprofile für Open Banking, OpenID Federation für Vertrauensketten und OpenID for Verifiable Credentials (OpenID4VP und OpenID4VCI), das Wallets für digitale Identitäten nutzen.
Typische Fehler: nonce oder state weglassen, Tokens von jedem beliebigen Tenant eines mandantenfähigen Providers akzeptieren, dem E-Mail-Claim ohne Prüfung von email_verified und des Ausstellers als Kontokennung vertrauen und ID-Tokens als Access Tokens für APIs verwenden.