En OpenID Connect, el emisor es una URL HTTPS que debe coincidir exactamente con el issuer del documento de descubrimiento del proveedor, incluida cualquier ruta final; el verificador obtiene jwks_uri de ese documento. Los proveedores multiinquilino (por ejemplo, Microsoft Entra ID) incluyen el inquilino en el emisor, así que aceptar «cualquier emisor de este proveedor» sin comprobarlo deja pasar tokens de otros inquilinos.
La regla es vincular las claves a los emisores: una clave del JWKS del emisor A no debe validar un token que declare como emisor a B (RFC 8725 §3.8). El ataque de confusión (mix-up) de OAuth, en el que un cliente se equivoca sobre qué servidor de autorización le respondió, se contrarresta con el parámetro iss de la respuesta de autorización (RFC 9207).