OAuth 2.0 の仕組みを使う以上、クライアントアプリの管理が必要不可欠です。設計によっては、あるサービスは各エンドユーザーをそれぞれ開発者と定義し、彼らにクライアントアプリの開発・登録を許可することになります。Authlete は、クライアントアプリを管理（登録、削除、参照、更新）するための Web API を提供しています。直接、それらの Web API を使ってもいいですし、呼ぶためのツールを開発することもできます。もっとも簡単な方法は、Authlete が提供する 開発者コンソール を使うことである。クライアントアプリの開発者は、開発者コンソールを使って、クライアントアプリのメタ情報を管理できます。
ウェブサービスを提供する場合、Web API を通して、クライアントアプリへエンドユーザーの情報を渡すことになります。このような API を、**保護リソースエンドポイント（Protected Resource Endpoint）**と呼びます。クライアントアプリは、認可サーバーから発行されたアクセストークンをつかって、これら保護リソースエンドポイントにアクセスします。保護リソースエンドポイントでは、クライアントアプリが提示したアクセストークンを検証し、そのクライアントアプリが保護されたリソースへのアクセス権限を持っているのか、確認しなければなりません。アクセストークンの情報を取得するための API のことをイントロスペクション API といい、2015年にリリースされた RFC 7662 に定義されています。保護リソースエンドポイントの実装には、これら API を使うことになります。Authlete では、この仕様と異なる、より便利な Web API も提供しています。
