OAuth 2.0 no define el formato. Los tokens opacos se validan consultando al servidor de autorización (introspección de tokens, RFC 7662), lo que permite una revocación inmediata. Los tokens de acceso JWT se validan localmente; el RFC 9068 define su perfil con typ at+jwt y los claims obligatorios iss, exp, aud, sub, client_id, iat y jti, además de scope.
Los servidores de recursos deben comprobar la audiencia y el ámbito, no solo la firma, y tratar los tokens como credenciales de portador salvo que estén vinculados al remitente con DPoP o mTLS. Los clientes deberían tratar los tokens de acceso como opacos aunque resulten ser JWT, ya que el formato puede cambiar.