RFC 7515 §4.1.6 规定每张证书都使用带填充的标准 base64，这与其他所有 JOSE 值都不同，常常让解析器出错。相关成员有 x5t（SHA-1 证书指纹）和 x5t#S256（SHA-256 指纹），以及 x5u，即可从中获取证书链的 URL。
令牌头部中的证书链本身什么也证明不了：任何人都可以附上一张自签名证书。验证者必须把证书链验证到自己选定的信任锚，检查证书中的身份和用途，然后才能使用其中的密钥。直接依据内嵌证书验证、而不做路径验证的系统，都曾出现过可被伪造的问题。合法的用途包括 Apple 和 Google 的设备证明载荷，以及欧洲与 eIDAS 相关的签名，在这些场景中，依据可信列表验证本身就是协议的一部分。