Access tokens devem ser interpretados pelo cliente OAuth.

Access tokens devem ser usados para efetuar requisições ao servidor de recursos (resource server).

Sender-constrained tokens não requerem que o cliente OAuth prove a posse de uma chave privada.

Bearer tokens incluem, de forma codificada, informações de identificação do usuário que efetua requisições ao servidor de recursos (resource server).

ID tokens devem ser usados para efetuar requisições ao servidor de recursos (resource server).