El RFC 7515 §4.1.6 especifica base64 estándar con relleno para cada certificado, a diferencia de todos los demás valores JOSE, lo que confunde a los analizadores. Los miembros relacionados son x5t (huella digital SHA-1 del certificado) y x5t#S256 (SHA-256), además de x5u, una URL de la que obtener la cadena.
Una cadena en el encabezado del token no demuestra nada por sí sola: cualquiera puede adjuntar un certificado autofirmado. El verificador debe validar la cadena hasta un ancla de confianza elegida por él, comprobar la identidad y el uso del certificado, y solo entonces usar la clave. Los sistemas que verifican con el certificado incrustado sin validación de la ruta han permitido falsificaciones. Entre los usos legítimos están las cargas útiles de atestación de dispositivos de Apple y Google y las firmas europeas relacionadas con eIDAS, en las que la verificación con listas de confianza forma parte del protocolo.