A RFC 7515 §4.1.4 deixa o formato em aberto; escolhas comuns são strings aleatórias, datas ou a impressão digital (thumbprint) da JWK (RFC 7638), que vincula o identificador ao material da chave. Um kid é uma dica para a seleção da chave, não uma afirmação de segurança: o verificador ainda precisa conferir se a chave selecionada pertence ao emissor esperado e se é válida para o algoritmo esperado.
Como vem do token ainda não verificado, o kid é uma entrada não confiável. Já houve implementações exploradas porque o usavam como caminho de arquivo ou em uma consulta SQL para carregar chaves; trate-o como uma chave de busca opaca em um conjunto fixo.