La vérification de l’audience empêche qu’un jeton émis pour un service soit rejoué auprès d’un autre qui fait confiance au même émetteur. Dans les jetons d’ID OpenID Connect, aud est l’ID du client ; dans les jetons d’accès OAuth, c’est généralement l’identifiant du serveur de ressources (la RFC 9068 l’exige), et les indicateurs de ressource (RFC 8707) permettent aux clients de demander une audience précise.
Les bibliothèques diffèrent : certaines ne vérifient aud que si l’appelant fournit une valeur attendue, si bien qu’oublier l’option désactive silencieusement la vérification. Les valeurs sont sensibles à la casse et comparées à l’identique ; une audience sous forme de tableau est acceptable si l’un de ses éléments correspond.