যদি OAuth সংস্করণগুলির মধ্যে চয়ন করা থাকে তবে OAuth 2.0 এর সাথে যান।
OAuth বহনকারী টোকেন কেবল একটি নিরাপদ পরিবহণের সাথে ব্যবহার করা উচিত।
OAuth বহনকারী টোকেনগুলি কেবল সেই পরিবহন হিসাবে সুরক্ষিত বা সুরক্ষিত যা কথোপকথনকে এনক্রিপ্ট করে। এইচটিটিপিএস রিপ্লে আক্রমণ থেকে রক্ষা করার জন্য যত্ন নেয়, তাই বহনকারী টোকেনকে পুনরায় প্লে করার বিরুদ্ধেও রক্ষা করা জরুরী নয়।
যদিও এটি সত্য যে কেউ যদি আপনার বহনকারী টোকেনকে বাধা দেয় তবে এপিআইতে কল করার সময় তারা আপনাকে ছদ্মবেশ তৈরি করতে পারে, সেই ঝুঁকি হ্রাস করার প্রচুর উপায় রয়েছে। যদি আপনি আপনার টোকেনগুলিকে দীর্ঘ মেয়াদোত্তীর্ণ সময়সীমা দেন এবং আপনার ক্লায়েন্টদের স্থানীয়ভাবে টোকেনগুলি সংরক্ষণ করার প্রত্যাশা থাকে, আপনি যদি টোকেনগুলিকে একটি স্বল্প মেয়াদোত্তীর্ণ সময় দেন তবে আপনার টোকেনদের বিরতি দেওয়া এবং অপব্যবহারের ঝুঁকি বেশি থাকে, প্রতি সেশনের জন্য ক্লায়েন্টদের নতুন টোকেন অর্জন করা প্রয়োজন, এবং ক্লায়েন্টদের টোকেন অবিরত না রাখার পরামর্শ দিন।
যদি আপনার একাধিক অংশগ্রহণকারীদের মধ্য দিয়ে যায় এমন পেডগুলি সুরক্ষিত করতে হয় তবে আপনাকে এইচটিটিপিএস / এসএসএল এর চেয়ে আরও কিছু বেশি প্রয়োজন, যেহেতু এইচটিটিপিএস / এসএসএল কেবল গ্রাফের একটি লিঙ্ক এনক্রিপ্ট করে। এটি ওআউথের দোষ নয়।
গুগল, ফেসবুক এবং অন্যান্য অনেক পরিষেবা থেকে জনসাধারণের মুখোমুখি এপিআই সুরক্ষিত করার জন্য ক্লায়েন্টদের পক্ষে গ্রাহকদের পক্ষে, এপিআই কলগুলির জন্য সহজে ব্যবহার করা সহজ এবং বিস্তৃতভাবে (এইচটিটিপিএস সহ) ব্যবহার করা হয় বোরার টোকেনগুলি।