La RFC 7515 §4.1.4 laisse le format libre ; les choix courants sont des chaînes aléatoires, des dates ou l’empreinte JWK (RFC 7638), qui lie l’identifiant au matériel de clé. Un kid est une indication pour choisir la clé, pas une garantie de sécurité : le vérificateur doit quand même s’assurer que la clé choisie appartient à l’émetteur attendu et qu’elle est valide pour l’algorithme attendu.
Comme il provient du jeton non vérifié, kid est une entrée non fiable. Des implémentations ont été exploitées parce qu’elles l’utilisaient comme chemin de fichier ou dans une requête SQL pour charger les clés ; traitez-le comme une clé de recherche opaque dans un ensemble fixe.