RFC 7515 §4.1.9 definiert ihn; RFC 7519 empfiehlt JWT. RFC 8725 §3.11 empfiehlt explizite Typen für jede neue Token-Art, und die Spezifikationen sind dem gefolgt: Access Tokens im JWT-Format für OAuth verwenden at+jwt (RFC 9068), DPoP-Proofs dpop+jwt (RFC 9449), Key-Binding-JWTs von SD-JWT kb+jwt (RFC 9901) und Security Event Tokens secevent+jwt (RFC 8417).
Verifizierer sollten genau den typ verlangen, den sie erwarten (ohne Beachtung der Groß- und Kleinschreibung verglichen, mit optionalem Präfix application/), zusätzlich zur Prüfung von Audience und Aussteller. Sonst ließe sich ein ID-Token, ein Logout-Token oder ein DPoP-Proof als Access Token wiederverwenden, sofern derselbe Schlüssel sie signiert hat. Verwechsle typ nicht mit cty, der die Payload beschreibt, etwa bei verschachtelten JWTs.