Lo define el RFC 7515 §4.1.9; el RFC 7519 recomienda JWT. El RFC 8725 §3.11 recomienda tipos explícitos para cada nuevo tipo de token, y las especificaciones lo siguieron: los tokens de acceso JWT de OAuth usan at+jwt (RFC 9068); las pruebas DPoP, dpop+jwt (RFC 9449); los JWT de key binding de SD-JWT, kb+jwt (RFC 9901), y los tokens de eventos de seguridad (Security Event Tokens), secevent+jwt (RFC 8417).
Conviene que los verificadores exijan exactamente el typ que esperan (comparado sin distinguir mayúsculas de minúsculas y con un prefijo application/ opcional), además de comprobar la audiencia y el emisor. De lo contrario, un token de ID, un token de cierre de sesión o una prueba DPoP firmados con la misma clave podrían reutilizarse como token de acceso. No confundas typ con cty, que describe la carga útil, como en los JWT anidados.