Bearer-token
Token waarbij “wie het bezit, het mag gebruiken” — geen sleuteluitwisseling nodig. Het contant-geld-in-de-portemonnee-model. RFC 6750.
Headerformaat: Authorization: Bearer <token>. Moet altijd over TLS worden verstuurd — zonder versleuteling kan iedereen onderweg het token onderscheppen en volledige toegang krijgen. Alternatief: sender-constrained tokens (DPoP, mTLS-gebonden), waarbij de server via een cryptografische binding (proof-of-possession) controleert dat het token van de juiste client komt. In 2024 is nog steeds het gewone bearer-token met korte levensduur het gangbaarst.