OAuth 2.0
Het autorisatieframework — "laat een app bij mijn gegevens bij dienst X zonder dat ik mijn wachtwoord deel". Niet authenticatie (dat is OIDC bovenop OAuth).
Vier oorspronkelijke grant types: Authorization Code (voor webapps), Implicit (verouderd sinds 2020), Resource Owner Password (verouderd) en Client Credentials (server-naar-server). Tegenwoordig is Authorization Code + PKCE de standaard voor alle interactieve aanmelding, ook voor SPA's. OAuth 2.1 (RFC-concept, 2024) ruimt op: Implicit en ROPC verdwijnen en PKCE wordt verplicht. Gebouwd op rollen: resource owner, client, authorization server en resource server.