Le credenziali client OAuth 2.0 sono un flusso di autenticazione macchina a macchina usato da client software riservati che agiscono per proprio conto. Invece di un utente che esegue l'accesso, l'applicazione presenta la propria identità client e il proprio segreto, oppure un'altra attestazione attendibile, al server di autorizzazione e riceve un token di accesso per un'API.
Questo è importante nella sicurezza informatica perché molti servizi moderni, bot, carichi di lavoro e agenti IA hanno bisogno di identità non umane. I principali rischi sono la fuga di segreti client, ambiti troppo ampi e token con durata eccessiva. Gli aggressori spesso cercano di rubare un segreto client o un token, quindi riutilizzarlo per chiamare le API come se fossero l'applicazione. I difensori riducono questo rischio con token a breve durata, rotazione dei segreti, conservazione in vault, ambiti con il minimo privilegio, registrazione di audit rigorosa e, dove possibile, sistemi di identità per i carichi di lavoro.