A descoberta do OpenID Connect (/.well-known/openid-configuration) e os metadados de servidor de autorização do OAuth (RFC 8414) publicam a URL como jwks_uri; o conjunto contém todas as chaves válidas no momento para verificação, cada uma com um kid. Os verificadores guardam o conjunto em cache, escolhem a chave cujo kid corresponde ao cabeçalho do token, conferem se kty e alg da chave são compatíveis com o algoritmo esperado e buscam o conjunto de novo quando aparece um kid desconhecido, com limite de taxa.
A rotação consiste em adicionar a nova chave antes de assinar com ela e remover a antiga só depois que todos os tokens assinados com ela tiverem expirado. Falhas a observar: membros privados (d) publicados por engano, valores de kid duplicados, chaves sem alg que uma biblioteca permissiva usa com o algoritmo errado e caches que nunca são atualizados. O verificador de JWKS inspeciona um endpoint ativo em busca desses problemas.