El descubrimiento de OpenID Connect (/.well-known/openid-configuration) y los metadatos del servidor de autorización de OAuth (RFC 8414) publican la URL como jwks_uri; el conjunto contiene todas las claves válidas en ese momento para la verificación, cada una con un kid. Los verificadores guardan el conjunto en caché, eligen la clave cuyo kid coincide con el del encabezado del token, comprueban que kty y alg de la clave encajan con el algoritmo esperado y vuelven a descargarlo ante un kid desconocido, con un límite de frecuencia.
La rotación de claves consiste en añadir la clave nueva antes de firmar con ella y retirar la antigua solo cuando hayan caducado todos los tokens firmados con ella. Fallos a vigilar: miembros privados (d) publicados por error, valores kid duplicados, claves sin alg que una biblioteca permisiva usa con el algoritmo equivocado y cachés que nunca se actualizan. El comprobador de JWKS revisa un endpoint activo en busca de estos problemas.