Roles: propietario del recurso, cliente, servidor de autorización y servidor de recursos. La concesión de código de autorización (con PKCE) es el flujo principal para usuarios; las credenciales de cliente cubren las llamadas entre servicios; la concesión de autorización de dispositivo (RFC 8628) cubre televisores y CLI; los tokens de actualización renuevan el acceso. OAuth trata de la autorización; OpenID Connect añade la autenticación por encima.
El RFC 9700, la buena práctica actual de seguridad de OAuth 2.0 (OAuth 2.0 Security Best Current Practice, enero de 2025), retira la concesión implícita y la concesión de contraseña del propietario del recurso, exige PKCE a los clientes públicos y lo recomienda para todos, exige que los URI de redirección coincidan exactamente y recomienda los tokens vinculados al remitente. El Internet-Draft de OAuth 2.1 consolida esas reglas, pero en octubre de 2026 todavía no era un RFC.