Per un esempio, diciamo che abbiamo un'applicazione come un'applicazione basata su client che si connette a un'API usando una chiave API. Stiamo dicendo che per questo scopo non esiste OAuth. Come sarebbe una stringa o in questo esempio una chiave API essere nascosta dal client. Per essere utilizzato deve essere nel codice che si trova sul lato client. Come manteniamo la stringa al sicuro? Se gli utenti decompilano il codice, potrebbero trovare la chiave.
Questo è un esempio molto semplice con soluzioni come il server che schiera la connessione, ma in generale come si proteggono le stringhe che devono essere presenti nel codice. La deobfuscazione è un dolore.