OAuth 2.0

Identity

• RFC EditorのRFC 6749ページによれば、「The OAuth 2.0 Authorization Framework」はStandards TrackのProposed Standardで、2012年10月の公開、編集者はD. Hardt（Microsoft）。RFC 5849を廃止し、RFC 8252・RFC 8996・RFC 9700によって更新されている。検証待ち RFC 6749: The OAuth 2.0 Authorization Framework | RFC Editor
• OAuth公式コミュニティサイトのoauth.netは、「OAuth 2.0は認可のための業界標準プロトコルである」と述べている。付与タイプとして認可コード、PKCE、クライアント資格情報、デバイスコード、リフレッシュトークンを挙げ、インプリシットフローとパスワードグラントはレガシーとして区別している。検証待ち OAuth 2.0 — OAuth

Capability

• OAuth公式コミュニティサイトのoauth.netは、「OAuth 2.0は認可のための業界標準プロトコルである」と述べている。付与タイプとして認可コード、PKCE、クライアント資格情報、デバイスコード、リフレッシュトークンを挙げ、インプリシットフローとパスワードグラントはレガシーとして区別している。検証待ち OAuth 2.0 — OAuth
• RFC EditorのRFC 9700ページは、RFC 9700を「Best Current Practice for OAuth 2.0 Security」（BCP 240）と表示し、Internet Best Current Practiceを記す文書と位置づけている。要旨は、RFC 6749・6750・6819が示す脅威モデルとセキュリティ上の助言を更新・拡張する文書だと説明している。検証待ち RFC 9700: Best Current Practice for OAuth 2.0 Security | RFC Editor
• Google for Developersの「Using OAuth 2.0 to Access Google APIs」は、「Google APIsは認証と認可にOAuth 2.0プロトコルを使う」と述べている。ウェブサーバーアプリ、インストール型アプリ、クライアント側JavaScriptアプリ、入力が限られたデバイス向けのフローを説明し、サービスアカウントはエンドユーザーの同意が不要なサーバー間呼び出しを扱うとされる。検証待ち Using OAuth 2.0 to Access Google APIs | Authorization | Google for Developers

Credibility

• RFC EditorのRFC 6749ページによれば、「The OAuth 2.0 Authorization Framework」はStandards TrackのProposed Standardで、2012年10月の公開、編集者はD. Hardt（Microsoft）。RFC 5849を廃止し、RFC 8252・RFC 8996・RFC 9700によって更新されている。検証待ち RFC 6749: The OAuth 2.0 Authorization Framework | RFC Editor
• RFC EditorのRFC 9700ページは、RFC 9700を「Best Current Practice for OAuth 2.0 Security」（BCP 240）と表示し、Internet Best Current Practiceを記す文書と位置づけている。要旨は、RFC 6749・6750・6819が示す脅威モデルとセキュリティ上の助言を更新・拡張する文書だと説明している。検証待ち RFC 9700: Best Current Practice for OAuth 2.0 Security | RFC Editor
• IETF Datatrackerの「Web Authorization Protocol (oauth)」ページは、OAuthワーキンググループをSecurity Areaの所属、状態「Active」と表示している。憲章の作業計画にはOAuth 2.1の最終化が挙げられ、2026年12月にOAuth 2.1 Authorization FrameworkとTransaction TokensをIESGへ提出するマイルストーンが予定されている。検証待ち Web Authorization Protocol (oauth)

Use Case

• Google for Developersの「Using OAuth 2.0 to Access Google APIs」は、「Google APIsは認証と認可にOAuth 2.0プロトコルを使う」と述べている。ウェブサーバーアプリ、インストール型アプリ、クライアント側JavaScriptアプリ、入力が限られたデバイス向けのフローを説明し、サービスアカウントはエンドユーザーの同意が不要なサーバー間呼び出しを扱うとされる。検証待ち Using OAuth 2.0 to Access Google APIs | Authorization | Google for Developers

Constraints / Current Status

• 同サイトは、OAuth 2.1を「OAuth 2.0と多くの共通拡張を新しい名称のもとで統合する、進行中の取り組み」と説明している。OAuth 2.0そのものの後継として確定したと書かれているわけではない。検証待ち OAuth 2.0 — OAuth
• RFC EditorのRFC 9700ページは、RFC 9700を「Best Current Practice for OAuth 2.0 Security」（BCP 240）と表示し、Internet Best Current Practiceを記す文書と位置づけている。要旨は、RFC 6749・6750・6819が示す脅威モデルとセキュリティ上の助言を更新・拡張する文書だと説明している。検証待ち RFC 9700: Best Current Practice for OAuth 2.0 Security | RFC Editor
• IETF Datatrackerの「Web Authorization Protocol (oauth)」ページは、OAuthワーキンググループをSecurity Areaの所属、状態「Active」と表示している。憲章の作業計画にはOAuth 2.1の最終化が挙げられ、2026年12月にOAuth 2.1 Authorization FrameworkとTransaction TokensをIESGへ提出するマイルストーンが予定されている。検証待ち Web Authorization Protocol (oauth)

Key References

• OAuth 2.0が認可の標準として広く使われているのはなぜですか？
• OAuth 2.0の規格と最新のセキュリティ指針は、どの一次資料で確認できますか？
• OAuth 2.0とは何で、何のためのプロトコルですか？

Related

• IETF— OAuth 2.0はIETFのRFC 6749（2012年10月、Proposed Standard）として標準化され、IETFのOAuthワーキンググループ（Security Area）が2026年10月時点でActiveである。