Ao contrário dos tokens de acesso, os tokens de atualização são destinados ao uso somente com servidores de autorização e nunca são enviados aos servidores de recursos.

Os clientes não precisam registrar seus redirecionamentos de URI antes de usá-los em um fluxo de autorização.

O servidor de recursos emite tokens de acesso ao cliente após autenticar o proprietário do recurso com sucesso e obter autorização.

Os tokens de atualização devem ser enviados diretamente ao cliente para autenticação, sem necessidade de proteção adicional.

Só existe um tipo de cliente, o confidencial, aquele capaz de manter a confidencialidade de suas credenciais.