Роли: владелец ресурса, клиент, сервер авторизации и сервер ресурсов. Основной поток с участием пользователя — предоставление доступа по коду авторизации (authorization code grant) с PKCE; для вызовов между сервисами служит предоставление по учётным данным клиента (client credentials), для телевизоров и CLI — авторизация устройства (device authorization grant, RFC 8628); токены обновления продлевают доступ. OAuth отвечает за авторизацию, а OpenID Connect добавляет поверх него аутентификацию.
RFC 9700, рекомендации по безопасности OAuth 2.0 (Best Current Practice, январь 2025 года), выводит из употребления неявное предоставление доступа (implicit grant) и предоставление по паролю владельца ресурса (resource owner password grant), требует PKCE для публичных клиентов и рекомендует его для всех, требует точного сопоставления URI перенаправления и рекомендует токены с привязкой к отправителю. Internet-Draft OAuth 2.1 сводит эти правила воедино, но в октябре 2026 года ещё не стал RFC.