Rôles : propriétaire de la ressource, client, serveur d’autorisation et serveur de ressources. L’octroi par code d’autorisation (authorization code, avec PKCE) est le principal flux impliquant l’utilisateur ; l’octroi par informations d’identification du client (client credentials) couvre les appels entre services ; l’octroi d’autorisation d’appareil (RFC 8628) couvre les téléviseurs et les CLI ; les jetons d’actualisation renouvellent l’accès. OAuth relève de l’autorisation ; OpenID Connect y ajoute l’authentification.
La RFC 9700 (OAuth 2.0 Security Best Current Practice, janvier 2025) retire l’octroi implicite et l’octroi par mot de passe du propriétaire de la ressource, exige PKCE pour les clients publics et le recommande pour tous, impose une correspondance exacte de l’URI de redirection et recommande les jetons liés à l’expéditeur. L’Internet-Draft OAuth 2.1 consolide ces règles, mais n’était pas encore une RFC en octobre 2026.