O OAuth 2.0 não define o formato. Tokens opacos são validados com uma consulta ao servidor de autorização (introspecção de token, RFC 7662), o que permite revogação instantânea. Tokens de acesso JWT são validados localmente; a RFC 9068 define um perfil para eles com typ at+jwt e as claims obrigatórias iss, exp, aud, sub, client_id, iat e jti, além de scope.
Os servidores de recursos devem verificar o público-alvo e o escopo, não só a assinatura, e tratar os tokens como credenciais do tipo bearer, a menos que sejam restritos ao remetente com DPoP ou mTLS. Convém que os clientes tratem os tokens de acesso como opacos mesmo quando por acaso forem JWTs, já que o formato pode mudar.