OpenID Connect のディスカバリ（/.well-known/openid-configuration）と OAuth の認可サーバーメタデータ（RFC 8414）は、この URL を jwks_uri として公開します。セットには、現在検証に使える有効な鍵がすべて含まれ、それぞれに kid が付いています。検証者はセットをキャッシュし、トークンのヘッダーと kid が一致する鍵を選び、鍵の kty と alg が想定するアルゴリズムに合うことを確認します。未知の kid を受け取った場合は、レート制限をかけたうえでセットを再取得します。
鍵のローテーションでは、新しい鍵で署名を始める前にその鍵をセットに追加し、古い鍵は、それで署名したすべてのトークンの有効期限が切れた後に初めて削除します。注意すべき失敗は、誤って公開された秘密のメンバー（d）、重複した kid の値、alg がないために緩いライブラリが誤ったアルゴリズムで使ってしまう鍵、そして更新されないキャッシュです。JWKS チェッカーでは、稼働中のエンドポイントにこうした問題がないかを確認できます。