Dans OpenID Connect, l’émetteur est une URL HTTPS qui doit correspondre exactement à issuer dans le document de découverte du fournisseur, y compris un éventuel chemin final ; le vérificateur récupère jwks_uri dans ce document. Les fournisseurs multi-locataires (par exemple Microsoft Entra ID) placent le locataire dans l’émetteur : accepter « n’importe quel émetteur de ce fournisseur » sans le vérifier laisse donc entrer les jetons d’autres locataires.
La règle consiste à lier les clés aux émetteurs : une clé du JWKS de l’émetteur A ne doit pas valider un jeton qui se réclame de l’émetteur B (RFC 8725 §3.8). L’attaque de confusion (mix-up) d’OAuth, dans laquelle un client se trompe sur le serveur d’autorisation qui a répondu, est contrée par le paramètre iss de la réponse d’autorisation (RFC 9207).