La découverte OpenID Connect (/.well-known/openid-configuration) et les métadonnées de serveur d’autorisation OAuth (RFC 8414) publient l’URL sous le nom jwks_uri ; le jeu contient toutes les clés actuellement valides pour la vérification, chacune avec un kid. Les vérificateurs mettent le jeu en cache, sélectionnent la clé dont le kid correspond à l’en-tête du jeton, vérifient que le kty et l’alg de la clé correspondent à l’algorithme attendu, et rechargent le jeu en cas de kid inconnu, avec une limitation de débit.
La rotation consiste à ajouter la nouvelle clé avant de signer avec elle, puis à ne retirer l’ancienne qu’une fois expirés tous les jetons signés avec elle. Défaillances à surveiller : membres privés (d) publiés par erreur, valeurs kid en double, clés sans alg qu’une bibliothèque permissive utilise avec le mauvais algorithme, et caches jamais rafraîchis. Le vérificateur JWKS contrôle un point de terminaison en production pour détecter ces problèmes.