OAuth 2.0
認可フレームワーク。「パスワードを渡さずに、アプリに自分のXのデータへアクセスさせる」ためのもの。認証ではない（認証はその上に載るOIDCの仕事）。
当初の許可タイプは四つ。Authorization Code（Webアプリ向け）、Implicit（2020年に非推奨）、Resource Owner Password（非推奨）、Client Credentials（サーバー間）である。現在の既定はAuthorization Code + PKCEで、SPAを含むあらゆる対話型認可に使う。OAuth 2.1（2024年のRFCドラフト）はImplicitとROPCを削除し、PKCEを必須にして整理した。仕組みはリソースオーナー、クライアント、認可サーバー、リソースサーバーという四つの役割に基づく。