Al posto della password l'applicazione riceve dal server di autorizzazione un access token con durata e ambito (scope) limitati. Un refresh token le permette di ottenere nuovi access token senza che l'utente rifaccia il login.
Per le applicazioni interattive lo standard è l'Authorization Code flow con PKCE; per l'accesso tra servizi, il Client Credentials flow. L'Implicit flow e il Password grant, un tempo diffusi, sono deprecati.
Da admin incontri OAuth 2.0 soprattutto nella posta: Microsoft 365 e Google richiedono l'autenticazione moderna via OAuth 2.0 al posto della basic auth per IMAP e SMTP. Dispositivi e script vecchi che supportano solo username e password smettono di funzionare.