Validação (OpenID Connect Core §3.1.3.7): verifique a assinatura com uma chave do JWKS do provedor e o algoritmo que o cliente registrou (RS256 por padrão); confira se iss é igual ao emissor do provedor, se aud contém o ID do cliente (e azp, se houver vários públicos-alvo), se exp está no futuro e se nonce corresponde ao valor que o cliente enviou; opcionalmente, confira auth_time, acr e amr. O identificador estável do usuário é o par iss e sub, não o endereço de e-mail.
O token de ID se destina ao cliente, não a APIs: enviá-lo como token de acesso a um servidor de recursos é um antipadrão comum, porque o público-alvo dele é o cliente. Os fluxos híbrido e implícito retornam tokens de ID pelo navegador, e é por isso que existem at_hash e c_hash, que vinculam os tokens entre si.