Параметр определён в RFC 7515, § 4.1.9; RFC 7519 рекомендует значение JWT. RFC 8725, § 3.11 рекомендует явные типы для каждого нового вида токенов, и спецификации последовали этому совету: токены доступа OAuth в формате JWT используют at+jwt (RFC 9068), доказательства DPoP — dpop+jwt (RFC 9449), JWT привязки к ключу в SD-JWT — kb+jwt (RFC 9901), токены событий безопасности (Security Event Tokens) — secevent+jwt (RFC 8417).
Помимо проверки аудитории и издателя, проверяющим сторонам следует требовать именно то значение typ, которое они ожидают (сравнивать без учёта регистра, с необязательным префиксом application/). Иначе ID-токен, токен выхода (logout token) или доказательство DPoP, подписанные тем же ключом, можно повторно предъявить как токен доступа. Не путайте typ с cty, который описывает полезную нагрузку, например во вложенных JWT.