Verificación con fuera de banda (OOB)

Verifica la autenticación multifactor (MFA) mediante un desafío fuera de banda (OOB), ya sea una notificación push, un SMS o una llamada de voz. Para verificar MFA con un OOB…

POST /oauth/token

Verifica la autenticación multifactor (MFA) mediante un desafío fuera de banda (OOB), ya sea una notificación push, un SMS o una llamada de voz. Para verificar MFA mediante un desafío OOB, la aplicación debe hacer una solicitud a /oauth/token con grant_type=http://auth0.com/oauth/grant-type/mfa-oob. Incluya el oob_code que recibió en la respuesta al desafío, así como el mfa_token que recibió como parte del error mfa_required.

La respuesta a esta solicitud depende del estado de verificación del desafío subyacente:

• Si el desafío se ha aceptado y verificado, la respuesta será la misma que para los tipos de concesión password o http://auth0.com/oauth/grant-type/password-realm.
• Si el desafío se ha rechazado, obtendrá un error invalid_grant, lo que significa que el usuario rechazó el desafío. En este punto, debe dejar de consultar, ya que esta respuesta es definitiva.
• Si la verificación del desafío sigue pendiente (es decir, aún no se ha aceptado ni rechazado), obtendrá un error authorization_pending, lo que significa que debe volver a intentar la misma solicitud unos segundos después. Si realiza solicitudes con demasiada frecuencia, obtendrá un error slow_down.

Cuando la respuesta al desafío incluye binding_method: prompt, la aplicación debe pedir al usuario el binding_code y enviarlo como parte de la solicitud. El binding_code suele ser un número de 6 dígitos (similar a un OTP) incluido en el desafío. No es necesario enviar un binding_code si la respuesta al desafío no incluyó un binding_method. En este caso, la respuesta será inmediata; recibirá un invalid_grant o un access_token como respuesta.

​

Más información

• Asociar autenticadores fuera de banda

​

Parámetros

DPoP · string

Una prueba DPoP para la solicitud. Es opcional y solo se requiere si su aplicación usa Demonstrating Proof-of-Possession.

​

Cuerpo de la solicitud

grant_type · string · requerido

Indica el flujo que está utilizando. Para MFA con OTP, use http://auth0.com/oauth/grant-type/mfa-oob.

Valores permitidos: http://auth0.com/oauth/grant-type/mfa-oob

client_id · string · requerido

El ID de cliente de su aplicación.

client_assertion · string

Un JWT que contiene una aserción firmada con las credenciales de su aplicación.

client_assertion_type · string

El valor es urn:ietf:params:oauth:client-assertion-type:jwt-bearer.

Valores permitidos: urn:ietf:params:oauth:client-assertion-type:jwt-bearer

client_secret · string

El Secreto del cliente de su aplicación.

mfa_token · string · requerido

El mfa_token que recibió en el error mfa_required.

oob_code · string · requerido

El code oob recibido en la solicitud de desafío.

binding_code · string

Un code que se usa para vincular el canal secundario con el canal principal que utiliza para autenticarse.

​

Respuesta

Estado	Descripción
200	Respuesta satisfactoria para la verificación OOB.
400	Solicitud incorrecta debido a parámetros faltantes o no válidos.
401	No autorizado; mfa_token o oob_code no válidos.