La RFC 7515 §4.1.9 le définit ; la RFC 7519 recommande JWT. La RFC 8725 §3.11 recommande des types explicites pour toute nouvelle catégorie de jeton, et les spécifications ont suivi : les jetons d’accès JWT d’OAuth utilisent at+jwt (RFC 9068), les preuves DPoP dpop+jwt (RFC 9449), les JWT de liaison de clé (key binding) de SD-JWT kb+jwt (RFC 9901), les jetons d’événement de sécurité (SET) secevent+jwt (RFC 8417).
Les vérificateurs devraient exiger exactement le typ attendu (comparé sans tenir compte de la casse, avec un préfixe application/ facultatif), en plus des contrôles de l’audience et de l’émetteur. Sinon, un jeton d’ID, un jeton de déconnexion ou une preuve DPoP signés par la même clé pourraient être rejoués comme jeton d’accès. Ne confondez pas typ avec cty, qui décrit la charge utile, comme dans les JWT imbriqués.