Bearer token
Token per cui «chi lo possiede può usarlo», senza alcuno scambio di chiavi. Il modello del contante nel portafoglio. RFC 6750.
Formato dell'header: Authorization: Bearer <token>. Va sempre inviato su TLS: senza cifratura, chiunque si trovi a metà strada potrebbe rubare il token e ottenere pieno accesso. L'alternativa sono i token vincolati al mittente (DPoP, mTLS-bound), in cui il server verifica tramite un legame crittografico (proof-of-possession) che il token provenga dal client giusto. Nel 2024 la soluzione più diffusa resta comunque il bearer con una durata breve.