Obtener tokens de acceso

Aprenda a solicitar tokens de acceso mediante el endpoint Authorize al autenticar a los usuarios, e incluya la audiencia de destino y el scope de acceso que solicita la aplicación y concede el usuario.

Para acceder a su API, debe solicitar un token de acceso al autenticar a un usuario.

Estas herramientas de Auth0 le ayudan a modificar su aplicación para autenticar usuarios:

• Quickstarts son la forma más sencilla de implementar la autenticación. Le muestran cómo usar Universal Login y los SDK de Auth0 específicos de cada lenguaje y framework.
• La API de autenticación de Auth0 es una referencia para quienes prefieren escribir código por su cuenta. Primero, identifique qué flujo usar. Luego, siga las instrucciones para implementar ese flujo.

Para solicitar un token de acceso, realice una solicitud POST a la URL del token.

​

Ejemplo de solicitud POST a la URL del token

Parámetros

Nombre del parámetro	Descripción
grant_type	Establezca este valor en “client_credentials”.
client_id	El ID de cliente de su aplicación. Puede encontrar este valor en la pestaña de configuración de la aplicación.
client_secret	El Secreto del cliente de su aplicación. Puede encontrar este valor en la pestaña de configuración de la aplicación. Para obtener más información sobre los métodos de autenticación de aplicaciones disponibles, consulte Application Credentials.
audience	La audiencia del token, que es su API. Puede encontrarla en el campo Identificador de la pestaña de configuración de la API.
organization	Opcional. El nombre o identificador de la organización con el que quiere asociar la solicitud. Para obtener más información, consulte Machine-to-Machine Access for Organizations.

​

Respuesta

Recibirá una respuesta HTTP 200 con una carga útil que contiene los valores access_token, token_type y expires_in:

{
  "access_token":"eyJz93a...k4laUWw",
  "token_type":"Bearer",
  "expires_in":86400
}

Valida tus tokens antes de guardarlos. Para saber cómo hacerlo, lee Validar los ID Tokens y Validar tokens de acceso.

​

Controlar la audiencia del token de acceso

Cuando un usuario se autentica, solicitas un token de acceso e incluyes la audiencia de destino y el scope de acceso en la solicitud. La aplicación usa el endpoint /authorize para solicitar acceso. La aplicación solicita este acceso y el usuario lo concede durante la autenticación.

Puedes configurar tu inquilino para que siempre incluya una audiencia predeterminada.

Uso del token	Formato	Audiencia solicitada	Scope solicitado
endpoint /userinfo	Opaco	nombre del inquilino (\{yourDomain}), sin valor para el parámetro audience, no se envía ningún parámetro audience	openid
Auth0 Management API	JWT	identificador de Management API v2 (https://{tenant}.auth0.com/api/v2/)
Tu propia API personalizada	JWT	El identificador de API de tu API personalizada registrada en el Auth0 Dashboard

Solo en un caso específico los tokens de acceso pueden tener múltiples audiencias de destino. Para ello, el algoritmo de firma de tu API personalizada debe estar configurado en RS256. Para obtener más información, consulta Prácticas recomendadas para tokens.

​

Múltiples audiencias

Si especifica una audiencia correspondiente al identificador de su API personalizada y un scope de openid, la claim aud del token de acceso resultante será una matriz en lugar de una cadena, y el token de acceso será válido tanto para su API personalizada como para el endpoint /userinfo. Sus tokens de acceso solo pueden tener dos o más audiencias si usa una única API personalizada junto con el endpoint /userinfo de Auth0.

​

Dominios personalizados y la Auth0 Management API

Auth0 emite tokens cuyo claim de emisor (iss) corresponde al dominio que haya utilizado al solicitar el token. Los usuarios de dominio personalizado pueden usar su dominio personalizado o su dominio de Auth0.

Por ejemplo, suponga que tiene un dominio personalizado, https://login.northwind.com. Si solicita un token de acceso desde https://login.northwind.com/authorize, el claim iss de su token será https://login.northwind.com/. Sin embargo, si solicita un token de acceso desde https://northwind.auth0.com/authorize, el claim iss de su token será https://northwind.auth0.com/.

Si solicita un token de acceso desde su dominio personalizado con la Auth0 Management API como audiencia de destino, debe llamar a la Auth0 Management API desde su dominio personalizado. De lo contrario, su token de acceso se considerará no válido.

​

Renovar tokens de acceso

De forma predeterminada, un token de acceso para una API personalizada es válido durante 86400 segundos (24 horas). Puede acortar el tiempo antes de que el token expire.

Una vez que un token de acceso haya expirado, puede renovarlo. Para ello, vuelva a autenticar al usuario con Auth0 o use un token de actualización.

​

Más información

• Validar tokens de acceso
• Usar tokens de acceso
• JSON Web Tokens
• Tokens de actualización
• Tokens de acceso del proveedor de identidad
• Tokens de acceso para la Management API