Validación (OpenID Connect Core §3.1.3.7): verifica la firma con una clave del JWKS del proveedor y el algoritmo que registró el cliente (RS256 por defecto); comprueba que iss sea igual al emisor del proveedor, que aud contenga el ID de cliente (y azp, si hay varias audiencias), que exp esté en el futuro y que nonce coincida con el valor que envió el cliente; opcionalmente, comprueba auth_time, acr y amr. El identificador estable del usuario es el par formado por iss y sub, no la dirección de correo electrónico.
Un token de ID es para el cliente, no para las API: enviarlo como token de acceso a un servidor de recursos es un antipatrón habitual, porque su audiencia es el cliente. Los flujos híbrido e implícito devuelven tokens de ID a través del navegador, y por eso existen at_hash y c_hash, que vinculan los tokens entre sí.