RFC 6750 definiert drei Übertragungswege: den Header Authorization (bevorzugt), einen formularkodierten Parameter im Body und einen Query-Parameter in der URI, den RFC 9700 und der Entwurf von OAuth 2.1 verbieten, weil URLs in Logs, Browserverläufe und den Header Referer gelangen. Bearer Tokens dürfen nur über TLS übertragen werden.
Wer ein Bearer Token stiehlt (aus Logs, dem Browserspeicher, über einen kompromittierten Proxy), kann es bis zum Ablauf nutzen; halte Laufzeiten deshalb kurz und Scopes eng. Sendergebundene Tokens schließen diese Lücke: DPoP (RFC 9449) bindet ein Token an einen Schlüssel, dessen Besitz der Client mit jeder Anfrage nachweist, und an mTLS gebundene Tokens (RFC 8705) binden es an ein Client-Zertifikat; RFC 9700 empfiehlt sie.