OAuth ist ein Protokoll, mit dem eine Anwendung im Namen eines Nutzers begrenzt auf Daten eines anderen Dienstes zugreifen darf, ohne dessen Passwort zu kennen. Statt Zugangsdaten weiterzugeben, erteilt der Nutzer eine Freigabe, und die Anwendung erhält ein zeitlich befristetes Token mit genau umrissenem Umfang. Maßgeblich ist heute OAuth 2.0, festgelegt in RFC 6749.
Wichtig ist die Abgrenzung: OAuth regelt Autorisierung, also was eine Anwendung tun darf, nicht Authentifizierung, also wer jemand ist. Für die Anmeldung selbst dient OpenID Connect, eine Erweiterung, die auf OAuth 2.0 aufsetzt und zusätzlich ein ID-Token mit Angaben zur Person liefert. Wird OAuth ohne diese Erweiterung als Login zweckentfremdet, entstehen Sicherheitslücken.
Im Alltag begegnet das Verfahren überall dort, wo ein Dienst auf ein Konto bei einem anderen zugreift, etwa beim Kalenderabgleich oder bei Schnittstellen zwischen Geschäftsanwendungen. Der Umfang der Freigabe wird über sogenannte Scopes gesteuert, und erteilte Zugriffe lassen sich im Konto des Nutzers wieder entziehen.