El RFC 6750 define tres formas de transporte: el encabezado Authorization (la preferida), un parámetro en el cuerpo codificado como formulario y un parámetro de consulta en la URI, que el RFC 9700 y el borrador de OAuth 2.1 prohíben porque las URL acaban en registros, historiales y encabezados Referer. Los tokens de portador solo deben viajar por TLS.
Cualquiera que robe un token de portador (de los registros, del almacenamiento del navegador o de un proxy comprometido) puede usarlo hasta que caduque, así que mantén vigencias cortas y ámbitos reducidos. Los tokens vinculados al remitente resuelven ese problema: DPoP (RFC 9449) vincula un token a una clave cuya posesión el cliente demuestra en cada solicitud, y los tokens vinculados a mTLS (RFC 8705) lo vinculan a un certificado de cliente; el RFC 9700 los recomienda.