Ses exigences d’implémentation (§3.1) sont révélatrices : HS256 est le seul algorithme JWS marqué obligatoire (Required), RS256 est recommandé (Recommended) et ES256 est Recommended+ (appelé à devenir obligatoire) ; PS256, les autres variantes ES et RS et none sont facultatifs (Optional). Règles notables : les clés HMAC doivent être au moins aussi longues que la sortie du hachage (§3.2) ; les signatures ECDSA sont au format brut r‖s (§3.4) ; les clés RSA doivent faire au moins 2048 bits (§3.3) ; ES512 utilise P-521.
Pour JWE, JWA définit la gestion des clés (RSA1_5, RSA-OAEP, RSA-OAEP-256, A128KW–A256KW, dir, ECDH-ES et ECDH-ES+AxxxKW, AxxxGCMKW, PBES2-HS256+A128KW et consorts) et le chiffrement du contenu (A128CBC-HS256, A192CBC-HS384, A256CBC-HS512, A128GCM, A192GCM, A256GCM). C’est dans le registre IANA qu’arrivent les nouveaux algorithmes, dont ES256K (RFC 8812), Ed25519 et Ed448 (RFC 9864) et, dans des projets de RFC, ML-DSA.