El cliente envía una solicitud de autorización OAuth con scope=openid (más profile y email), recibe un código de autorización, lo canjea por un token de ID y un token de acceso, y valida el token de ID (la firma con el JWKS del proveedor, iss, aud, exp, nonce). El descubrimiento (/.well-known/openid-configuration) publica los endpoints, los algoritmos admitidos y el jwks_uri; las especificaciones de registro dinámico y de cierre de sesión cubren el resto del ciclo de vida.
La especificación principal también se publicó como norma ISO/IEC (ISO/IEC 26131:2024). Entre los trabajos relacionados de la OpenID Foundation están los perfiles de seguridad FAPI para la banca abierta, OpenID Federation para las cadenas de confianza y OpenID for Verifiable Credentials (OpenID4VP y OpenID4VCI), los protocolos de credenciales verificables que usan las carteras de identidad digital.
Errores típicos: omitir nonce o state, aceptar tokens de cualquier inquilino (tenant) de un proveedor multiinquilino, confiar en el claim del correo electrónico como identificador de la cuenta sin comprobar email_verified y el emisor, y usar tokens de ID como tokens de acceso a una API.