RFC 6750 определяет три способа передачи: заголовок Authorization (предпочтительный), параметр в теле запроса в кодировке HTML-формы и параметр строки запроса URI; последний запрещают RFC 9700 и черновик OAuth 2.1, потому что URL попадают в журналы, историю браузера и заголовки Referer. Bearer-токены должны передаваться только по TLS.
Любой, кто украдёт bearer-токен (из журналов, хранилища браузера, через скомпрометированный прокси), может пользоваться им до истечения срока действия, поэтому делайте срок жизни токенов коротким, а области доступа — узкими. Эту проблему решают токены с привязкой к отправителю: DPoP (RFC 9449) привязывает токен к ключу, владение которым клиент доказывает в каждом запросе, а токены с привязкой к mTLS (RFC 8705) — к клиентскому сертификату; RFC 9700 рекомендует именно их.