Na verdade são duas perguntas (com direito a subperguntas).

1. Hoje disponho de um mecanismo de geração de tokens já implementado (herdado de uma aplicação web) que estou usando na minha API REST* para aplicativos móveis. Os aplicativos encorajam o usuário a deixar login e senha salvos para evitar a constante redigitação, de forma que a validação dessas credenciais a fim de se obter o token inicial acaba sendo um passo automático nos aplicativos. Os tokens têm um tamanho próximo de 2KB. Não tenho muita experiência com autenticação e queria saber qual a forma correta de implementar autenticação na API neste caso, por exemplo se o token deveria ir no _header_  `Authentication` e se minha API deveria responder a um token inválido retornando _HTTP status 401 - Unauthorized_, se o método de autenticação deveria ser `Basic` ou algum outro tipo. Hoje é trazido um JSON com campo `login` valendo `true` ou `false` e em caso de sucesso o valor do token inicial, mas sei que essa forma de fazer é inadequada.

2. A segunda pergunta é uma versão mais ampla da primeira: no cenário de uma API usada somente por dispositivos móveis que poupam o usuário da digitação de login e senha, qual forma de autenticação usar? Convém continuar adotando tokens? Ou em vez disso enviar login/senha a cada solicitação? Fala-se em [OAuth com Bearer](http://pt.stackoverflow.com/a/33120/357); Seria essa a forma preferível? Estou misturando conceitos?

_* "REST" de um jeito provavelmente considerado "sem-vergonha"; não conheço muito sobre o que se chama de "REST puro" e além disso a API é somente-leitura, portanto eu não tenho nenhuma preocupação com idempotência ou mudar estado do servidor de maneira consistente._