認可サーバーは, トークン, クレデンシャル, その他センシティブな情報を含むいかなる HTTP レスポンスにおいても, Cache-Control ([RFC2616]) ヘッダーに no-store を, Pragma ([RFC2616]) ヘッダーに no-cache を指定しなければならない (MUST).

[a-r-g-v]

http://openid-foundation-japan.github.io/rfc6749.ja.html#token-response