O cliente envia uma requisição de autorização OAuth com scope=openid (além de profile e email), recebe um código de autorização, troca esse código por um token de ID e um token de acesso e valida o token de ID (a assinatura com o JWKS do provedor, iss, aud, exp, nonce). A descoberta (/.well-known/openid-configuration) publica os endpoints, os algoritmos aceitos e o jwks_uri; as especificações de registro dinâmico e de logout cobrem o resto do ciclo de vida.
A especificação principal também foi publicada como norma ISO/IEC (ISO/IEC 26131:2024). Entre os trabalhos relacionados da OpenID Foundation estão os perfis de segurança FAPI para open banking, o OpenID Federation para cadeias de confiança e o OpenID para credenciais verificáveis (OpenID for Verifiable Credentials: OpenID4VP e OpenID4VCI), usado pelas carteiras de identidade digital.
Bugs típicos: dispensar o nonce ou o state, aceitar tokens de qualquer locatário (tenant) de um provedor multilocatário, confiar na claim de e-mail como identificador da conta sem verificar email_verified nem o emissor, e usar tokens de ID como tokens de acesso a APIs.