它由 RFC 7515 §4.1.9 定义；RFC 7519 推荐使用 JWT。RFC 8725 §3.11 建议每种新的令牌都使用显式类型，各规范也照此执行：OAuth JWT 访问令牌使用 at+jwt（RFC 9068），DPoP 证明使用 dpop+jwt（RFC 9449），SD-JWT 的密钥绑定 JWT 使用 kb+jwt（RFC 9901），安全事件令牌使用 secevent+jwt（RFC 8417）。
除了检查受众和颁发者之外，验证者还应要求 typ 与预期值完全一致（比较时不区分大小写，application/ 前缀可有可无）。否则，由同一密钥签名的 ID 令牌、登出令牌或 DPoP 证明可能会被当作访问令牌重放。不要把 typ 与 cty 混淆，后者描述的是载荷，例如在嵌套 JWT 中。