Le client envoie une requête d’autorisation OAuth avec scope=openid (ainsi que profile et email), reçoit un code d’autorisation, l’échange contre un jeton d’ID et un jeton d’accès, puis valide le jeton d’ID (signature d’après le JWKS du fournisseur, iss, aud, exp, nonce). La découverte (/.well-known/openid-configuration) publie les points de terminaison, les algorithmes pris en charge et jwks_uri ; les spécifications d’enregistrement dynamique et de déconnexion couvrent le reste du cycle de vie.
La spécification principale a aussi été publiée comme norme ISO/IEC (ISO/IEC 26131:2024). Parmi les travaux connexes de l’OpenID Foundation figurent les profils de sécurité FAPI pour l’open banking, OpenID Federation pour les chaînes de confiance et les protocoles OpenID pour les attestations vérifiables (OpenID4VP et OpenID4VCI), qu’utilisent les portefeuilles d’identité numérique.
Erreurs typiques : omettre nonce ou state, accepter les jetons de n’importe quel locataire d’un fournisseur multilocataire, se fier au claim d’e-mail pour identifier le compte sans vérifier email_verified ni l’émetteur, et utiliser des jetons d’ID comme jetons d’accès à une API.