La RFC 6750 définit trois modes de transmission : l’en-tête Authorization (à privilégier), un paramètre dans le corps encodé en formulaire et un paramètre de requête d’URI, que la RFC 9700 et le projet OAuth 2.1 interdisent, car les URL se retrouvent dans les journaux, les historiques et les en-têtes Referer. Les jetons porteurs ne doivent transiter que par TLS.
Quiconque vole un jeton porteur (dans des journaux, le stockage du navigateur, un proxy compromis) peut l’utiliser jusqu’à son expiration : gardez donc des durées de vie courtes et des scopes restreints. Les jetons liés à l’expéditeur comblent cette lacune : DPoP (RFC 9449) lie un jeton à une clé dont le client prouve la possession à chaque requête, et les jetons liés à mTLS (RFC 8705) le lient à un certificat client ; la RFC 9700 les recommande.