RFC 6750 は 3 つの送信方法を定めています。Authorization ヘッダー（推奨）、フォームエンコードされたボディパラメーター、URI のクエリパラメーターです。URI のクエリパラメーターは、URL がログ、履歴、Referer ヘッダーに漏れるため、RFC 9700 と OAuth 2.1 のドラフトでは禁止されています。ベアラートークンは TLS 上でのみ送信しなければなりません。
ベアラートークンを（ログ、ブラウザーのストレージ、侵害されたプロキシから）盗んだ者は誰でも、有効期限が切れるまでそれを使えます。そのため、有効期間は短く、スコープは狭くしてください。送信者制約付きトークンはこの弱点を解消します。DPoP（RFC 9449）は、クライアントがリクエストのたびに所有を証明する鍵にトークンを紐付け、mTLS にバインドされたトークン（RFC 8705）はクライアント証明書にトークンを紐付けます。RFC 9700 はこれらの使用を推奨しています。