Papéis: proprietário do recurso, cliente, servidor de autorização e servidor de recursos. A concessão de código de autorização (authorization code, com PKCE) é o principal fluxo voltado ao usuário; as credenciais do cliente (client credentials) cobrem chamadas entre serviços; a concessão de autorização de dispositivo (RFC 8628) cobre TVs e CLIs; os tokens de atualização renovam o acesso. O OAuth trata de autorização; o OpenID Connect acrescenta a autenticação por cima.
A RFC 9700, a OAuth 2.0 Security Best Current Practice (janeiro de 2025), aposenta a concessão implícita (implicit grant) e a concessão de senha do proprietário do recurso (password grant), exige PKCE para clientes públicos e o recomenda para todos, requer correspondência exata da URI de redirecionamento e recomenda tokens restritos ao remetente. O Internet-Draft do OAuth 2.1 consolida essas regras, mas ainda não era uma RFC em outubro de 2026.