Statt eines Passworts erhält die Anwendung vom Autorisierungsserver ein Access-Token mit begrenzter Laufzeit und begrenztem Umfang (Scopes). Ein Refresh-Token erlaubt, neue Access-Tokens zu holen, ohne dass sich der Nutzer erneut anmeldet.
Für Anwendungen mit Nutzerinteraktion ist der Authorization Code Flow mit PKCE Standard, für Dienst-zu-Dienst-Zugriffe der Client Credentials Flow. Der früher verbreitete Implicit Flow und der Password Grant gelten als veraltet.
Im Alltag begegnet OAuth 2.0 Admins vor allem bei Mail: Microsoft 365 und Google verlangen für IMAP und SMTP moderne Authentifizierung per OAuth 2.0 statt Basic Auth. Alte Geräte und Skripte, die nur Benutzername und Passwort können, fallen dann aus.