OAuth 2.0 legt das Format nicht fest. Opake Tokens werden über eine Anfrage beim Autorisierungsserver geprüft (Token Introspection, RFC 7662), was einen sofortigen Widerruf ermöglicht. JWT-Access-Tokens werden lokal geprüft; RFC 9068 legt für sie ein Profil fest: typ at+jwt und die Pflicht-Claims iss, exp, aud, sub, client_id, iat und jti, dazu scope.
Ressourcenserver müssen Audience und Scope prüfen, nicht nur die Signatur, und Tokens als Bearer-Credentials behandeln, es sei denn, sie sind per DPoP oder mTLS sendergebunden. Clients sollten Access Tokens als opak behandeln, auch wenn es zufällig JWTs sind, denn das Format kann sich ändern.