Potencjalne wady OAuth Serwer autoryzacyjny – będący niczym innym niż zwykłą aplikacją WWW, która podobnie jak inne tego typu aplikacje jest narażona na ataki zewnętrzne, takie jak np. kwestie bezpiecznego przechowywania poświadczeń, brak lub błędna konfiguracja nagłówków bezpieczeństwa HTTP. Ponadto, warto zadbać o właściwą redundację odporność przed atakami odmowy dostępu (ang. ). Dalej, kwestią sporną są potencjalne ataki „siłowe”, których można użyć przeciwko serwerowi autoryzującymi – z technicznego punktu widzenia możliwe jest przeprowadzenie prób odgadnięcia tokenu lub danych uwierzytelniających klienta, dlatego też serwer powinien być przygotowany na odparcie takich prób. Klient (aplikacja, która chce otrzymać dostęp do zasobu) – zadaniem aplikacji jest stworzenie bezpiecznego środowiska dla tokena, by nie dopuścić do jego wycieku np. w przypadku ataku SQL injection. Tokeny oraz kody dostępu – w przypadku niedopilnowania odpowiednich ograniczeń czasowych może dojść do sytuacji, że tokeny oraz kody dostępu wyciekną np. poprzez ujawnienie ich w logach serwera. Wykorzystanie OAuth do uwierzytelnienia – głównym założeniem OAuth jest delegowanie autoryzacji, nie poświadczenie uwierzytelnienia – wykorzystanie tokenu na okaziciela powoduje, że każdy, kto posiada taki token, może podszyć się pod wybraną tożsamość.