La confusione dell'algoritmo è un difetto di convalida JWT in cui un verificatore accetta un algoritmo di firma non previsto oppure lascia che dati non attendibili dell'intestazione del token determinino il funzionamento della verifica. Per esempio, un verificatore progettato male potrebbe confondere la firma asimmetrica, che usa una chiave privata per firmare e una chiave pubblica per verificare, con la firma HMAC, che usa un segreto condiviso. Ciò può compromettere l'autenticazione e consentire la falsificazione di token se anche la gestione delle chiavi da parte del verificatore presenta difetti.
I difensori dovrebbero configurare una lista esplicita di algoritmi e chiavi consentiti, scegliere il metodo di verifica in base a impostazioni lato server attendibili anziché all'intestazione del token e rifiutare i token che non corrispondono all'emittente, al destinatario e alle altre dichiarazioni previste. Negli attacchi reali, la confusione dell'algoritmo è una potenziale via per l'impersonificazione o l'uso improprio dei privilegi; nelle implementazioni sicure, una verifica rigorosa impedisce a un token di scegliere le proprie regole di attendibilità.