درباره‌ی مجوزدهی (authorization) است: توکن چه کاری می‌تواند بکند. نقش‌های اصلی کاربر، برنامه‌ی کلاینت، authorization server و resource server (همان API) هستند.