A verificação do público-alvo impede que um token emitido para um serviço seja reutilizado em outro que confia no mesmo emissor. Nos tokens de ID do OpenID Connect, aud é o ID do cliente; nos tokens de acesso OAuth, costuma ser o identificador do servidor de recursos (a RFC 9068 o exige), e os indicadores de recurso (RFC 8707) permitem que os clientes solicitem um público-alvo específico.
As bibliotecas se comportam de formas diferentes: algumas só verificam aud se quem as chama informar um valor esperado, de modo que esquecer a opção desativa a verificação silenciosamente. Os valores diferenciam maiúsculas de minúsculas e são comparados exatamente; um público-alvo em array é aceitável se qualquer elemento corresponder.