RFC 7515 §4.1.9 で定義されており、RFC 7519 は JWT を推奨しています。RFC 8725 §3.11 は新しい種類のトークンすべてに明示的な型を付けることを推奨し、各仕様もそれに従いました。OAuth の JWT アクセストークンは at+jwt（RFC 9068）、DPoP プルーフは dpop+jwt（RFC 9449）、SD-JWT のキーバインディング JWT は kb+jwt（RFC 9901）、セキュリティイベントトークンは secevent+jwt（RFC 8417）を使います。
検証者は、オーディエンスと発行者の確認に加えて、想定どおりの typ を厳密に要求すべきです（大文字と小文字を区別せずに比較し、application/ プレフィックスは任意とします）。そうしないと、同じ鍵で署名された ID トークン、ログアウトトークン、DPoP プルーフがアクセストークンとしてリプレイされるおそれがあります。typ を、ネストされた JWT のようにペイロードの内容を示す cty と混同しないでください。