As RFCs principais saíram juntas em maio de 2015: JWS (7515), JWE (7516), JWK (7517), JWA (7518), JWT (7519) e exemplos resolvidos (7520). Entre os acréscimos posteriores estão os payloads não codificados (7797), as impressões digitais de JWK (7638), as chaves OKP para Ed25519 e X25519 (8037), o ES256K (8812), as boas práticas de JWT (8725) e os algoritmos totalmente especificados (9864). O grupo de trabalho JOSE agora também desenvolve as JSON Web Proofs, para divulgação seletiva e credenciais de conhecimento zero.
O equivalente em CBOR é o COSE, usado onde uma codificação binária compacta faz diferença (WebAuthn, mdoc, CWT). Entre as bibliotecas JOSE maduras estão jose (JavaScript), Nimbus JOSE + JWT (Java), golang-jwt e go-jose (Go), PyJWT e Authlib ou joserfc (Python) e Microsoft.IdentityModel (.NET).