Na verdade são duas perguntas (com direito a subperguntas). 1. Hoje disponho de um mecanismo de geração de tokens já implementado que estou usando na minha API REST para aplicativos móveis. Ela traz tokens com um tamanho próximo de 2KB. Não tenho muita experiência com autenticação e queria saber qual a forma correta de implementar autenticação no REST neste caso, por exemplo se o token deveria ir no _header_ `Authentication` e se minha API deveria responder a um token inválido retornando _HTTP status 401 - Unauthorized_, se o método de autenticação deveria ser `Basic` ou algum outro tipo. Hoje é trazido um JSON com campo `login` valendo `true` ou `false` e em caso de sucesso o valor do token inicial, mas sei que essa forma de fazer é inadequada. 2. A segunda pergunta é uma versão mais ampla da primeira: se eu pudesse escolher um mecanismo de geração de tokens (e supondo que o mais correto seja usá-los), qual seria a forma correta de implementar autenticação REST? Fala-se em [OAuth com Bearer](http://pt.stackoverflow.com/a/33120/357); por acaso ela fornece esse mecanismo de geração de tokens? Seria essa a forma preferível?