L'endpoint del token è l'endpoint del server OAuth in cui un client scambia un codice di autorizzazione, e talvolta credenziali del client o un verifier PKCE, per ottenere token. Questi token possono includere token di accesso, token di refresh e talvolta token ID.
È importante perché questo è il punto in cui i dati di accesso diventano credenziali utilizzabili. Se un client invia lo scambio all'endpoint sbagliato, un attaccante può catturare il codice di autorizzazione, il segreto del client o la chiave di prova e usarli per impersonare l'applicazione o completare il flusso di accesso. Per questo i difensori considerano la selezione dell'endpoint un confine di fiducia, non una normale chiamata di rete. Le implementazioni sicure convalidano l'emittente, richiedono una gestione rigorosa del redirect e inviano solo il materiale OAuth sensibile all'endpoint del token previsto. Negli attacchi, l'abuso spesso deriva dalla manipolazione della discovery, dalla confusione dei redirect o dalla sostituzione dell'endpoint, piuttosto che dalla rottura della crittografia stessa.