OAuth 2.0 n’en définit pas le format. Les jetons opaques sont validés en interrogeant le serveur d’autorisation (introspection de jeton, RFC 7662), ce qui permet une révocation instantanée. Les jetons d’accès JWT sont validés localement ; la RFC 9068 en définit le profil avec typ at+jwt et les claims obligatoires iss, exp, aud, sub, client_id, iat et jti, ainsi que scope.
Les serveurs de ressources doivent vérifier l’audience et le scope, pas seulement la signature, et traiter les jetons comme des informations d’identification au porteur, sauf s’ils sont liés à l’expéditeur par DPoP ou mTLS. Les clients devraient traiter les jetons d’accès comme opaques, même lorsqu’il s’agit de JWT, car le format peut changer.