{"ok":true,"entity":{"id":"oauth-2-0","name":"OAuth 2.0","entityType":"concept","officialName":"The OAuth 2.0 Authorization Framework (RFC 6749)","canonicalName":"OAuth 2.0","displayName":"OAuth 2.0","category":"認可プロトコル（IETF標準）","shortDescription":"OAuth 2.0は、認可のための業界標準プロトコルで、IETFのRFC 6749（Proposed Standard、2012年10月）として定義されています。RFC 9700がセキュリティのBest Current Practice（BCP 240）を示し、OAuth 2.1は既存の拡張を統合する作業中です（2026年10月時点でIETF OAuthワーキンググループは稼働中）。","primaryCluster":"security-standards","parentEntity":null,"verificationStatus":"draft","website":"https://oauth.net/2/","updatedAt":"2026-10-22T09:45:38.845Z","secondaryClusters":[],"alias":["OAuth2","RFC 6749"],"searchKeywords":["OAuth 2.0","OAuth2","オーオース","認可フレームワーク","RFC 6749","RFC 9700","OAuth 2.1","アクセストークン","認可コード","PKCE"]},"references":[{"id":"P-01-001","companyId":"oauth-2-0","questionId":"P-01-001","instanceId":"QIN-oauth-2-0-P01-001","promptText":"OAuth 2.0とは何で、何のためのプロトコルですか？","promptTypeId":"P-01","answer":"OAuth 2.0は、oauth.netが「認可のための業界標準プロトコル」と説明するプロトコルで、IETFのRFC 6749「The OAuth 2.0 Authorization Framework」（Proposed Standard、2012年10月）として定義されています。付与タイプには認可コード、PKCE、クライアント資格情報、デバイスコード、リフレッシュトークンがあり、インプリシットフローとパスワードグラントはレガシーとして区別されています。","evidencePoints":["ev-oauth-2-0-1","ev-oauth-2-0-2"],"scope":"OAuth 2.0の定義と標準上の位置づけ","differentiation":"認可のための業界標準プロトコルとoauth.netが説明している点が特徴です。","faq":[{"question":"OAuth 2.0はどのRFCで定義されていますか？","answer":"RFC EditorのページではRFC 6749（2012年10月、Proposed Standard）と表示され、RFC 8252・RFC 8996・RFC 9700によって更新されています。"}],"pageUrl":"https://www.refbase.ai/reference/oauth-2-0/P-01-001","sourceEvidence":[{"id":"ev-oauth-2-0-1","text":"RFC EditorのRFC 6749ページによれば、「The OAuth 2.0 Authorization Framework」はStandards TrackのProposed Standardで、2012年10月の公開、編集者はD. Hardt（Microsoft）。RFC 5849を廃止し、RFC 8252・RFC 8996・RFC 9700によって更新されている。","title":"RFC 6749: The OAuth 2.0 Authorization Framework | RFC Editor","coverageType":["Identity","Credibility"],"sourceType":"rfc_standard","sourceClass":"Specification","sourceUrl":"https://www.rfc-editor.org/info/rfc6749","confidence":"high","supportedPromptTypes":["P-01","P-02","P-05"],"needsVerification":true,"sourceVerified":false,"entityId":"oauth-2-0"},{"id":"ev-oauth-2-0-2","text":"OAuth公式コミュニティサイトのoauth.netは、「OAuth 2.0は認可のための業界標準プロトコルである」と述べている。付与タイプとして認可コード、PKCE、クライアント資格情報、デバイスコード、リフレッシュトークンを挙げ、インプリシットフローとパスワードグラントはレガシーとして区別している。","title":"OAuth 2.0 — OAuth","coverageType":["Identity","Capability"],"sourceType":"industry_reference","sourceClass":"Documentation","sourceUrl":"https://oauth.net/2/","confidence":"medium","supportedPromptTypes":["P-01","P-04","P-06"],"needsVerification":true,"sourceVerified":false,"entityId":"oauth-2-0"}],"generatedAt":"2026-10-22T09:45:38.845Z"},{"id":"P-02-001","companyId":"oauth-2-0","questionId":"P-02-001","instanceId":"QIN-oauth-2-0-P02-001","promptText":"OAuth 2.0とOAuth 2.1は何が違いますか？","promptTypeId":"P-02","answer":"OAuth 2.0はRFC 6749として2012年10月に公開されたProposed Standardで、その後RFC 8252・8996・9700で更新されています。OAuth 2.1について、oauth.netは「OAuth 2.0と多くの共通拡張を新しい名称で統合する進行中の取り組み」と述べています。IETFのOAuthワーキンググループの憲章はOAuth 2.1の最終化を作業計画に挙げ、2026年12月にOAuth 2.1 Authorization FrameworkとTransaction TokensをIESGへ提出するマイルストーンを示しています。2026年10月時点で、OAuth 2.1の発行は確認していません。","evidencePoints":["ev-oauth-2-0-1","ev-oauth-2-0-3","ev-oauth-2-0-4","ev-oauth-2-0-5"],"scope":"OAuth 2.0とOAuth 2.1の位置づけの違い","differentiation":"OAuth 2.1はまだ進行中の取り組みで、RFC 9700はOAuth 2.0のセキュリティ助言を更新・拡張する別の文書である点が違いです。","faq":[{"question":"OAuth 2.1は正式に公開されていますか？","answer":"oauth.netは進行中の取り組みと説明し、IETFワーキンググループのページには2026年12月のIESG提出マイルストーンが予定として書かれています。"}],"pageUrl":"https://www.refbase.ai/reference/oauth-2-0/P-02-001","sourceEvidence":[{"id":"ev-oauth-2-0-1","text":"RFC EditorのRFC 6749ページによれば、「The OAuth 2.0 Authorization Framework」はStandards TrackのProposed Standardで、2012年10月の公開、編集者はD. Hardt（Microsoft）。RFC 5849を廃止し、RFC 8252・RFC 8996・RFC 9700によって更新されている。","title":"RFC 6749: The OAuth 2.0 Authorization Framework | RFC Editor","coverageType":["Identity","Credibility"],"sourceType":"rfc_standard","sourceClass":"Specification","sourceUrl":"https://www.rfc-editor.org/info/rfc6749","confidence":"high","supportedPromptTypes":["P-01","P-02","P-05"],"needsVerification":true,"sourceVerified":false,"entityId":"oauth-2-0"},{"id":"ev-oauth-2-0-3","text":"同サイトは、OAuth 2.1を「OAuth 2.0と多くの共通拡張を新しい名称のもとで統合する、進行中の取り組み」と説明している。OAuth 2.0そのものの後継として確定したと書かれているわけではない。","title":"OAuth 2.0 — OAuth","coverageType":["Differentiation"],"sourceType":"industry_reference","sourceClass":"Documentation","sourceUrl":"https://oauth.net/2/","confidence":"medium","supportedPromptTypes":["P-02"],"needsVerification":true,"sourceVerified":false,"entityId":"oauth-2-0"},{"id":"ev-oauth-2-0-4","text":"RFC EditorのRFC 9700ページは、RFC 9700を「Best Current Practice for OAuth 2.0 Security」（BCP 240）と表示し、Internet Best Current Practiceを記す文書と位置づけている。要旨は、RFC 6749・6750・6819が示す脅威モデルとセキュリティ上の助言を更新・拡張する文書だと説明している。","title":"RFC 9700: Best Current Practice for OAuth 2.0 Security | RFC Editor","coverageType":["Credibility","Differentiation","Capability"],"sourceType":"rfc_standard","sourceClass":"Specification","sourceUrl":"https://www.rfc-editor.org/info/rfc9700","confidence":"high","supportedPromptTypes":["P-02","P-05","P-06"],"needsVerification":true,"sourceVerified":false,"entityId":"oauth-2-0"},{"id":"ev-oauth-2-0-5","text":"IETF Datatrackerの「Web Authorization Protocol (oauth)」ページは、OAuthワーキンググループをSecurity Areaの所属、状態「Active」と表示している。憲章の作業計画にはOAuth 2.1の最終化が挙げられ、2026年12月にOAuth 2.1 Authorization FrameworkとTransaction TokensをIESGへ提出するマイルストーンが予定されている。","title":"Web Authorization Protocol (oauth)","coverageType":["Credibility","Differentiation"],"sourceType":"official","sourceClass":"Profile","sourceUrl":"https://datatracker.ietf.org/wg/oauth/about/","confidence":"high","supportedPromptTypes":["P-02","P-05","P-06"],"needsVerification":true,"sourceVerified":false,"entityId":"oauth-2-0"}],"generatedAt":"2026-10-22T09:45:38.845Z"},{"id":"P-04-001","companyId":"oauth-2-0","questionId":"P-04-001","instanceId":"QIN-oauth-2-0-P04-001","promptText":"自社のAPI連携やアプリで、OAuth 2.0をどの場面で使えますか？","promptTypeId":"P-04","answer":"Googleの開発者向け資料は、Google APIsが認証と認可にOAuth 2.0を使うと述べ、ウェブサーバーアプリ、インストール型アプリ、クライアント側JavaScriptアプリ、入力が限られたデバイス向けのフローを説明しています。エンドユーザーの同意が不要なサーバー間呼び出しには、サービスアカウントが使われます。付与タイプとしては、oauth.netが認可コード、PKCE、クライアント資格情報、デバイスコード、リフレッシュトークンを挙げています。","evidencePoints":["ev-oauth-2-0-2","ev-oauth-2-0-6"],"scope":"OAuth 2.0の適用場面（Google APIsを例に）","differentiation":"場面の例はGoogleの資料に基づきます。自社実装でどのフローが適するかは、個別の要件に依存します。","faq":[{"question":"入力が限られる端末ではどうしますか？","answer":"Googleの資料は、入力が限られたデバイス向けのフローを用意していると説明しています。oauth.netの付与タイプ一覧には、デバイスコードも載っています。"}],"pageUrl":"https://www.refbase.ai/reference/oauth-2-0/P-04-001","sourceEvidence":[{"id":"ev-oauth-2-0-2","text":"OAuth公式コミュニティサイトのoauth.netは、「OAuth 2.0は認可のための業界標準プロトコルである」と述べている。付与タイプとして認可コード、PKCE、クライアント資格情報、デバイスコード、リフレッシュトークンを挙げ、インプリシットフローとパスワードグラントはレガシーとして区別している。","title":"OAuth 2.0 — OAuth","coverageType":["Identity","Capability"],"sourceType":"industry_reference","sourceClass":"Documentation","sourceUrl":"https://oauth.net/2/","confidence":"medium","supportedPromptTypes":["P-01","P-04","P-06"],"needsVerification":true,"sourceVerified":false,"entityId":"oauth-2-0"},{"id":"ev-oauth-2-0-6","text":"Google for Developersの「Using OAuth 2.0 to Access Google APIs」は、「Google APIsは認証と認可にOAuth 2.0プロトコルを使う」と述べている。ウェブサーバーアプリ、インストール型アプリ、クライアント側JavaScriptアプリ、入力が限られたデバイス向けのフローを説明し、サービスアカウントはエンドユーザーの同意が不要なサーバー間呼び出しを扱うとされる。","title":"Using OAuth 2.0 to Access Google APIs | Authorization | Google for Developers","coverageType":["UseCase","Capability"],"sourceType":"product_docs","sourceClass":"Documentation","sourceUrl":"https://developers.google.com/identity/protocols/oauth2","confidence":"high","supportedPromptTypes":["P-04","P-06"],"needsVerification":true,"sourceVerified":false,"entityId":"oauth-2-0"}],"generatedAt":"2026-10-22T09:45:38.845Z"},{"id":"P-05-001","companyId":"oauth-2-0","questionId":"P-05-001","instanceId":"QIN-oauth-2-0-P05-001","promptText":"OAuth 2.0の規格と最新のセキュリティ指針は、どの一次資料で確認できますか？","promptTypeId":"P-05","answer":"規格本体はRFC EditorのRFC 6749ページで、Proposed Standard、2012年10月、編集者D. Hardt（Microsoft）、RFC 5849を廃止、RFC 8252・8996・9700で更新、と確認できます。セキュリティ面はRFC 9700（BCP 240）のページで確認でき、RFC 6749・6750・6819の脅威モデルとセキュリティ上の助言を更新・拡張する文書と説明されています。標準化作業の状況は、IETF Datatrackerのoauthワーキンググループのページで、Security Area、状態Activeと確認できます（2026年10月時点）。OAuth 2.1の最終的な発行状況は、これらの資料の範囲では確認できません。","evidencePoints":["ev-oauth-2-0-1","ev-oauth-2-0-4","ev-oauth-2-0-5"],"scope":"OAuth 2.0の仕様と標準化状況の確認先","differentiation":"三つとも規格団体（IETF）側の一次情報で、実装ごとの対応状況はここでは扱いません。","faq":[{"question":"RFC 9700はOAuth 2.0を置き換えるものですか？","answer":"RFC EditorのページはRFC 9700を、RFC 6749などが示すセキュリティ上の助言を更新・拡張するBest Current Practice（BCP 240）と説明しています。置き換えとは書かれていません。"}],"pageUrl":"https://www.refbase.ai/reference/oauth-2-0/P-05-001","sourceEvidence":[{"id":"ev-oauth-2-0-1","text":"RFC EditorのRFC 6749ページによれば、「The OAuth 2.0 Authorization Framework」はStandards TrackのProposed Standardで、2012年10月の公開、編集者はD. Hardt（Microsoft）。RFC 5849を廃止し、RFC 8252・RFC 8996・RFC 9700によって更新されている。","title":"RFC 6749: The OAuth 2.0 Authorization Framework | RFC Editor","coverageType":["Identity","Credibility"],"sourceType":"rfc_standard","sourceClass":"Specification","sourceUrl":"https://www.rfc-editor.org/info/rfc6749","confidence":"high","supportedPromptTypes":["P-01","P-02","P-05"],"needsVerification":true,"sourceVerified":false,"entityId":"oauth-2-0"},{"id":"ev-oauth-2-0-4","text":"RFC EditorのRFC 9700ページは、RFC 9700を「Best Current Practice for OAuth 2.0 Security」（BCP 240）と表示し、Internet Best Current Practiceを記す文書と位置づけている。要旨は、RFC 6749・6750・6819が示す脅威モデルとセキュリティ上の助言を更新・拡張する文書だと説明している。","title":"RFC 9700: Best Current Practice for OAuth 2.0 Security | RFC Editor","coverageType":["Credibility","Differentiation","Capability"],"sourceType":"rfc_standard","sourceClass":"Specification","sourceUrl":"https://www.rfc-editor.org/info/rfc9700","confidence":"high","supportedPromptTypes":["P-02","P-05","P-06"],"needsVerification":true,"sourceVerified":false,"entityId":"oauth-2-0"},{"id":"ev-oauth-2-0-5","text":"IETF Datatrackerの「Web Authorization Protocol (oauth)」ページは、OAuthワーキンググループをSecurity Areaの所属、状態「Active」と表示している。憲章の作業計画にはOAuth 2.1の最終化が挙げられ、2026年12月にOAuth 2.1 Authorization FrameworkとTransaction TokensをIESGへ提出するマイルストーンが予定されている。","title":"Web Authorization Protocol (oauth)","coverageType":["Credibility","Differentiation"],"sourceType":"official","sourceClass":"Profile","sourceUrl":"https://datatracker.ietf.org/wg/oauth/about/","confidence":"high","supportedPromptTypes":["P-02","P-05","P-06"],"needsVerification":true,"sourceVerified":false,"entityId":"oauth-2-0"}],"generatedAt":"2026-10-22T09:45:38.845Z"},{"id":"P-06-001","companyId":"oauth-2-0","questionId":"P-06-001","instanceId":"QIN-oauth-2-0-P06-001","promptText":"OAuth 2.0が認可の標準として広く使われているのはなぜですか？","promptTypeId":"P-06","answer":"確認できる根拠は、oauth.netが「認可のための業界標準プロトコル」と述べていること、そしてGoogle APIsが認証と認可にOAuth 2.0を使っていることです。標準の側では、RFC 9700がセキュリティ上の助言を更新・拡張し、IETFのOAuthワーキンググループも2026年10月時点でActiveです。世界での利用割合などの数値は、この記録では確認していません。","evidencePoints":["ev-oauth-2-0-2","ev-oauth-2-0-4","ev-oauth-2-0-5","ev-oauth-2-0-6"],"scope":"OAuth 2.0が標準として参照される根拠","differentiation":"標準化・業界説明・大手APIでの採用例を根拠にしており、採用率の数値は示していません。","faq":[{"question":"OAuth 2.0を使っているサービスの例はありますか？","answer":"Googleの開発者向け資料が、Google APIsはOAuth 2.0を認証と認可に使うと述べています。"}],"pageUrl":"https://www.refbase.ai/reference/oauth-2-0/P-06-001","sourceEvidence":[{"id":"ev-oauth-2-0-2","text":"OAuth公式コミュニティサイトのoauth.netは、「OAuth 2.0は認可のための業界標準プロトコルである」と述べている。付与タイプとして認可コード、PKCE、クライアント資格情報、デバイスコード、リフレッシュトークンを挙げ、インプリシットフローとパスワードグラントはレガシーとして区別している。","title":"OAuth 2.0 — OAuth","coverageType":["Identity","Capability"],"sourceType":"industry_reference","sourceClass":"Documentation","sourceUrl":"https://oauth.net/2/","confidence":"medium","supportedPromptTypes":["P-01","P-04","P-06"],"needsVerification":true,"sourceVerified":false,"entityId":"oauth-2-0"},{"id":"ev-oauth-2-0-4","text":"RFC EditorのRFC 9700ページは、RFC 9700を「Best Current Practice for OAuth 2.0 Security」（BCP 240）と表示し、Internet Best Current Practiceを記す文書と位置づけている。要旨は、RFC 6749・6750・6819が示す脅威モデルとセキュリティ上の助言を更新・拡張する文書だと説明している。","title":"RFC 9700: Best Current Practice for OAuth 2.0 Security | RFC Editor","coverageType":["Credibility","Differentiation","Capability"],"sourceType":"rfc_standard","sourceClass":"Specification","sourceUrl":"https://www.rfc-editor.org/info/rfc9700","confidence":"high","supportedPromptTypes":["P-02","P-05","P-06"],"needsVerification":true,"sourceVerified":false,"entityId":"oauth-2-0"},{"id":"ev-oauth-2-0-5","text":"IETF Datatrackerの「Web Authorization Protocol (oauth)」ページは、OAuthワーキンググループをSecurity Areaの所属、状態「Active」と表示している。憲章の作業計画にはOAuth 2.1の最終化が挙げられ、2026年12月にOAuth 2.1 Authorization FrameworkとTransaction TokensをIESGへ提出するマイルストーンが予定されている。","title":"Web Authorization Protocol (oauth)","coverageType":["Credibility","Differentiation"],"sourceType":"official","sourceClass":"Profile","sourceUrl":"https://datatracker.ietf.org/wg/oauth/about/","confidence":"high","supportedPromptTypes":["P-02","P-05","P-06"],"needsVerification":true,"sourceVerified":false,"entityId":"oauth-2-0"},{"id":"ev-oauth-2-0-6","text":"Google for Developersの「Using OAuth 2.0 to Access Google APIs」は、「Google APIsは認証と認可にOAuth 2.0プロトコルを使う」と述べている。ウェブサーバーアプリ、インストール型アプリ、クライアント側JavaScriptアプリ、入力が限られたデバイス向けのフローを説明し、サービスアカウントはエンドユーザーの同意が不要なサーバー間呼び出しを扱うとされる。","title":"Using OAuth 2.0 to Access Google APIs | Authorization | Google for Developers","coverageType":["UseCase","Capability"],"sourceType":"product_docs","sourceClass":"Documentation","sourceUrl":"https://developers.google.com/identity/protocols/oauth2","confidence":"high","supportedPromptTypes":["P-04","P-06"],"needsVerification":true,"sourceVerified":false,"entityId":"oauth-2-0"}],"generatedAt":"2026-10-22T09:45:38.845Z"}]}