Un server di autorizzazione OAuth è il componente che autentica l'utente o il client, decide se l'accesso debba essere concesso ed emette token di accesso o token di refresh. In un flusso OAuth, si colloca al confine di trust: è il sistema che trasforma un accesso riuscito e una decisione di consenso in un token firmato che altri servizi accetteranno.
Questo ruolo è importante perché la compromissione del server di autorizzazione può consentire a un attaccante di generare token validi, aggirare i normali controlli di accesso o modificare chi è autorizzato ad accedere alle risorse protette. In ambienti reali, gateway di accesso e dispositivi di identità possono svolgere questo ruolo, quindi una vulnerabilità in quel punto può colpire molte applicazioni contemporaneamente. I difensori dovrebbero inventariare quali sistemi agiscono come server di autorizzazione, limitare questo ruolo al minimo necessario, monitorare l'emissione dei token e attività di autenticazione insolite e applicare rapidamente le patch quando vengono individuate vulnerabilità.