Хешируются только обязательные поля, в лексикографическом порядке и без пробельных символов: crv, kty, x, y для EC-ключей; e, kty, n для RSA; crv, kty, x для ключей OKP (RFC 8037, § 2). Необязательные поля, например kid, alg и use, не учитываются, поэтому у одного и того же ключа всегда один и тот же отпечаток. RFC 9278 определяет форму URI: urn:ietf:params:oauth:jwk-thumbprint:sha-256:….
Применения: авторизации ключа в ACME (token.thumbprint), токены доступа с привязкой DPoP (cnf.jkt, RFC 9449), привязка к владельцу в SD-JWT VC, поставщики OpenID типа self-issued и значения kid. Отпечаток JWK отличается от отпечатка SPKI того же ключа, потому что хешируется другое кодирование.