JWS では、alg は署名の計算方法を HS256、RS256、PS256、ES256、ES256K、Ed25519 など、または none から選びます。JWE では、コンテンツ鍵の受け渡し方法を選び、コンテンツの暗号方式は enc が指定します。値は、IANA の「JSON Web Signature and Encryption Algorithms」レジストリに登録された、大文字と小文字を区別する文字列です。
署名が検証されるまで、ヘッダーは攻撃者が自由に書き換えられる値です。そのため、検証者はヘッダーにアルゴリズムを決めさせてはいけません。鍵ごとに受け入れるアルゴリズム（理想的には 1 つ）を設定し、それ以外はすべて拒否してください（RFC 8725 §3.1）。alg に応じて処理を振り分けるライブラリは、これまでに none を受け入れたり、RSA 公開鍵を HMAC のシークレットとして使ったりしてきました。
RFC 9864（2025年）は、EdDSA のように意味が鍵に依存する「多態的な」識別子を非推奨とし、Ed25519 のような完全指定の識別子を推奨しています。これにより、アルゴリズム名だけで処理が決まります。