RFC 7515 §4.1.4 は形式を定めていません。よく使われるのはランダムな文字列、日付、または JWK サムプリント（RFC 7638）で、サムプリントを使うと識別子が鍵の値そのものに結び付きます。kid は鍵を選ぶためのヒントであり、セキュリティ上の主張ではありません。検証者は、選んだ鍵が想定する発行者のものであり、想定するアルゴリズムに対して有効であることを、別途確認しなければなりません。
kid は未検証のトークンから取り出す値なので、信頼できない入力です。鍵を読み込むためにこれをファイルパスとして使ったり SQL クエリに組み込んだりした実装は、実際に悪用されてきました。この値は、固定された鍵の集合を引くための不透明な検索キーとして扱ってください。