PKCE (تلفظ: «پیکسی»): اگر کسی code را در راه بگیرد از آن محافظت می‌کند. بدون verifier، کدِ دزدیده‌شده بی‌ارزش است. بهترین رویه‌ی امروزی آن را برای همه‌ی کلاینت‌ها به کار می‌برد، نه فقط اپ‌های موبایل.
state: پیش از تغییر مسیر یک مقدار تصادفی ذخیره می‌کنید و هنگام بازگشت مقایسه‌اش می‌کنید. این کار جلوی مهاجمی را می‌گیرد که به callback شما کدی از حساب خودش می‌دهد.
redirect_uri دقیق: سرور مجوزدهی باید نشانی بازگشت را نویسه به نویسه با نشانیِ ثبت‌شده مقایسه کند. بررسی سهل‌گیرانه به مهاجم اجازه می‌دهد کدهای کاربران شما را بگیرد.
دو عادت قدیمی که باید کنار بگذارید: جریان قدیمی implicit که توکن را در نشانی می‌گذاشت منسوخ است؛ از جریان کد با PKCE استفاده کنید. و هرگز client_secret را داخل اپ موبایل یا کد مرورگر نگذارید، چون هر کسی می‌تواند بیرونش بکشد.

ورود بدون دادن رمز عبور