Rollen: Ressourceninhaber (Resource Owner), Client, Autorisierungsserver und Ressourcenserver. Der Authorization Code Grant (mit PKCE) ist der wichtigste Flow mit Benutzerinteraktion; Client Credentials deckt Aufrufe zwischen Diensten ab; der Device Authorization Grant (RFC 8628) deckt Fernseher und CLIs ab; Refresh Tokens erneuern den Zugriff. OAuth regelt die Autorisierung; OpenID Connect ergänzt darauf aufbauend die Authentifizierung.
RFC 9700, die OAuth 2.0 Security Best Current Practice (Januar 2025), schafft den Implicit Grant und den Resource Owner Password Grant ab, verlangt PKCE für öffentliche Clients und empfiehlt es für alle, fordert einen exakten Abgleich der Redirect-URI und empfiehlt sendergebundene Tokens. Der Internet-Draft zu OAuth 2.1 fasst diese Regeln zusammen, war im Oktober 2026 aber noch kein RFC.