Typowy scenariusz opiera się na następujących krokach:
Aplikacja bądź strona internetowa zamierza pozyskać dane użytkownika, w związku z czym pobiera je od zewnętrznego dostawcy tożsamości oraz przekierowuje do serwera autoryzacyjnego Takowy serwer informuje użytkownika o możliwości uzyskania dostępu do określonych danych (np. dane personalne, adres e-mail). Decyzja użytkownika polegająca na zaakceptowaniu wymagań aplikacji/strony internetowej jest automatyczną autoryzacją – analogicznie – niezaakceptowanie wymagań nie udziela autoryzacji. W momencie autoryzacji serwer przekierowuje z powrotem do aplikacji/strony internetowej informacje o udzieleniu zgody. Aplikacja/strona internetowa otrzymuje token dostęp umożliwiający pobranie wybranych danych o użytkowniku.
W całym procederze chodzi o wygenerowanie tokenu, będącego głównym nośnikiem informacji między podmiotami, które chcą wykonać określoną operację. OAuth może to wykonywać dzięki kompatybilności z protokołem HTTP (ang. ). OAuth ma za zadanie zapewnić „bezpieczny delegowany dostęp” do zasobów serwera w imieniu użytkownika w celu potwierdzenia tożsamości.