Skip to main content

​
Endpoint

POST /oauth/token Verifica la autenticación multifactor (MFA) mediante un desafío fuera de banda (OOB), ya sea una notificación push, un SMS o una llamada de voz. Para verificar MFA mediante un desafío OOB, la aplicación debe hacer una solicitud a /oauth/token con grant_type=http://auth0.com/oauth/grant-type/mfa-oob. Incluya el oob_code que recibió en la respuesta al desafío, así como el mfa_token que recibió como parte del error mfa_required. La respuesta a esta solicitud depende del estado de verificación del desafío subyacente:
  • Si el desafío se ha aceptado y verificado, la respuesta será la misma que para los tipos de concesión password o http://auth0.com/oauth/grant-type/password-realm.
  • Si el desafío se ha rechazado, obtendrá un error invalid_grant, lo que significa que el usuario rechazó el desafío. En este punto, debe dejar de consultar, ya que esta respuesta es definitiva.
  • Si la verificación del desafío sigue pendiente (es decir, aún no se ha aceptado ni rechazado), obtendrá un error authorization_pending, lo que significa que debe volver a intentar la misma solicitud unos segundos después. Si realiza solicitudes con demasiada frecuencia, obtendrá un error slow_down.
Cuando la respuesta al desafío incluye binding_method: prompt, la aplicación debe pedir al usuario el binding_code y enviarlo como parte de la solicitud. El binding_code suele ser un número de 6 dígitos (similar a un OTP) incluido en el desafío. No es necesario enviar un binding_code si la respuesta al desafío no incluyó un binding_method. En este caso, la respuesta será inmediata; recibirá un invalid_grant o un access_token como respuesta.

​
Más información

​
Encabezados

​
string
Una prueba DPoP para la solicitud. Es opcional y solo se requiere si su aplicación usa Demonstrating Proof-of-Possession.

​
Parámetros del cuerpo

​
string
requerido
Indica el flujo que está utilizando. Para MFA con OTP, use http://auth0.com/oauth/grant-type/mfa-oob.Valores permitidos: http://auth0.com/oauth/grant-type/mfa-oob
​
string
requerido
El ID de cliente de su aplicación.
​
string
Un JWT que contiene una aserción firmada con las credenciales de su aplicación.
​
string
El valor es urn:ietf:params:oauth:client-assertion-type:jwt-bearer.Valores permitidos: urn:ietf:params:oauth:client-assertion-type:jwt-bearer
​
string
El Secreto del cliente de su aplicación.
​
string
requerido
El mfa_token que recibió en el error mfa_required.
​
string
requerido
El code oob recibido en la solicitud de desafío.
​
string
Un code que se usa para vincular el canal secundario con el canal principal que utiliza para autenticarse.

​
Esquema de respuesta

​
Mensajes de respuesta