Seuls les membres obligatoires sont hachés, dans l’ordre lexicographique et sans espaces : crv, kty, x, y pour les clés EC ; e, kty, n pour RSA ; crv, kty, x pour les clés OKP (RFC 8037 §2). Les membres facultatifs comme kid, alg et use sont exclus, de sorte qu’une même clé a toujours la même empreinte. La RFC 9278 définit une forme URI, urn:ietf:params:oauth:jwk-thumbprint:sha-256:….
Usages : autorisations de clé ACME (token.thumbprint), jetons d’accès liés par DPoP (cnf.jkt, RFC 9449), liaison au détenteur dans SD-JWT VC, fournisseurs OpenID auto-émis (self-issued) et valeurs kid. Une empreinte JWK diffère de l’empreinte SPKI de la même clé, car elle hache un autre encodage.