A RFC 6750 define três formas de transporte: o cabeçalho Authorization (a preferida), um parâmetro no corpo codificado como formulário e um parâmetro de consulta na URI, que a RFC 9700 e o rascunho do OAuth 2.1 proíbem porque as URLs vazam para logs, históricos e cabeçalhos Referer. Os bearer tokens só devem trafegar por TLS.
Qualquer pessoa que roube um bearer token (de logs, do armazenamento do navegador, de um proxy comprometido) pode usá-lo até ele expirar, por isso mantenha a vida útil curta e os escopos restritos. Os tokens restritos ao remetente fecham essa brecha: o DPoP (RFC 9449) vincula o token a uma chave cuja posse o cliente prova a cada requisição, e os tokens vinculados ao mTLS (RFC 8705) o vinculam a um certificado de cliente; a RFC 9700 os recomenda.