I metadati OIDC sono l'insieme di dettagli strutturati del client usati quando un'applicazione si registra presso un provider OpenID Connect. In genere includono il nome del client, gli URI di reindirizzamento, gli URI di logout, i tipi di grant, le impostazioni dei token e altri dati di policy specifici dell'applicazione. In pratica, questi metadati indicano al sistema di identità come il client è autorizzato ad autenticarsi e dove possono essere inviati i riscontri.
Sono importanti perché una validazione debole dei metadati OIDC può creare seri problemi di sicurezza. Se un attaccante può registrare un client con un URI di reindirizzamento malevolo, rubare o intercettare token, o impostare opzioni applicative non sicure, può ottenere accesso agli account o ai dati interni. Gli addetti alla difesa dovrebbero trattare i dati di registrazione come input non attendibile: applicare una corrispondenza esatta degli URI di reindirizzamento, limitare la registrazione self-service e rivedere le modifiche ai metadati con la stessa attenzione riservata al codice o alla configurazione. Nelle piattaforme di identità, i metadati non sono solo informazioni di configurazione; fanno parte del perimetro di fiducia.