A RFC 7515 §4.1.9 o define; a RFC 7519 recomenda JWT. A RFC 8725 §3.11 recomenda tipos explícitos para cada novo tipo de token, e as especificações seguiram a recomendação: os tokens de acesso JWT do OAuth usam at+jwt (RFC 9068), as provas DPoP, dpop+jwt (RFC 9449), os JWTs de vinculação de chave do SD-JWT, kb+jwt (RFC 9901), e os Security Event Tokens, secevent+jwt (RFC 8417).
Convém que os verificadores exijam exatamente o typ que esperam (comparado sem diferenciar maiúsculas de minúsculas, com prefixo application/ opcional), além das verificações de público-alvo e de emissor. Do contrário, um token de ID, um token de logout ou uma prova DPoP assinados pela mesma chave poderiam ser reapresentados como token de acesso. Não confunda typ com cty, que descreve o payload, como em JWTs aninhados.