RFC 7515, § 4.1.4 не задаёт формат; обычно используют случайные строки, даты или отпечаток JWK (RFC 7638), который связывает идентификатор с ключевым материалом. kid — лишь подсказка для выбора ключа, а не гарантия безопасности: проверяющая сторона всё равно должна убедиться, что выбранный ключ принадлежит ожидаемому издателю и подходит для ожидаемого алгоритма.
kid приходит из ещё не проверенного токена, поэтому это недоверенные входные данные. Известны успешные атаки на реализации, которые использовали его как путь к файлу или подставляли в SQL-запрос для загрузки ключей; обращайтесь с ним как с непрозрачным значением для поиска в фиксированном наборе ключей.