# Eine Identität trennen

`DELETE /fapi/v1/me/identities/{identity_id}` · wird vom Anmelde-Host der Umgebung aufgerufen

Trennt eine Social- oder Unternehmensidentität vom Konto des authentifizierten Benutzers. Die letzte Anmeldemethode des Benutzers kann nicht entfernt werden. Erzwingt die Organisation des Benutzers für diese Verknüpfung SSO, kann die Identität nur über die Kundenverwaltungs-API entfernt werden. Nach erfolgreicher Entfernung wird eine Sicherheitsbenachrichtigung an alle bestätigten E-Mail-Adressen des Benutzers gesendet. Erforderlich ist der Cookie `__Host-idp_session` des authentifizierten Benutzers; fehlt der Cookie, ist er abgelaufen oder widerrufen, wird `401 unauthenticated` zurückgegeben. Eine First-Party-Anwendung auf einem anderen Ursprung kann stattdessen ihr Front-API-Zugriffstoken senden (`Authorization: DPoP <token>` mit einem DPoP-Nachweis; siehe [Front-API-Zugriffstoken](/docs/api/fapi/front-api-token)).

Die Sitzung muss in den letzten 5 Minuten bestätigt worden sein. Hat der Benutzer einen zweiten Faktor, muss die Sitzung zusätzlich mit einem zweiten Faktor (`urn:idp:acr:mfa`) geöffnet worden sein.

## Anfrage

Header:

| Header | Erforderlich | Beschreibung |
| --- | --- | --- |
| `Idp-Client` | ja | SDK-Kennung. |
| `Origin` | ja | Muss genau `https://<Anmelde-Host>` sein. |

`identity_id`: die Kennung der verknüpften Identität im Format `idn_…`.

Kein Body.

## Antwort

`204 No Content`.

## Fehler

| Status | Code | Wann |
| --- | --- | --- |
| 401 | `unauthenticated` | Kein gültiger Sitzungs-Cookie. |
| 401 | `step_up_required` | Sitzung wurde nicht in den letzten 5 Minuten bestätigt oder ein zweiter Faktor ist erforderlich; erneut bestätigen mit `max_age=300` (und gegebenenfalls `acr_values`) im Header `WWW-Authenticate`. |
| 403 | `origin_not_allowed` | `Origin` fehlt oder ist falsch. |
| 404 | `not_found` | Für diesen Benutzer existiert keine solche Identität. |
| 409 | `last_login_method` | Diese Identität ist die letzte Anmeldemethode des Benutzers. |
| 409 | `sso_enforced_by_organization` | Die Organisation des Benutzers erzwingt SSO für diese Verknüpfung. |

## Beispiel

```bash
curl -X DELETE https://example.keenauth.app/fapi/v1/me/identities/idn_01j9zzzzzzzzzzzzzzzzzzzzzz \
  -H "Idp-Client: my-app/1.0.0 (node/22.0.0)" \
  -H "Origin: https://example.keenauth.app" \
  -b cookies.txt
```

## Personenbezogene Daten

Dieser Endpunkt verarbeitet personenbezogene Daten: verknüpfte Identitäten. [Personenbezogene Daten in den KeenAuth-APIs](/docs/policies/personal-data) beschreibt, was gespeichert wird, wie lange es aufbewahrt wird und wie es gelöscht wird. Senden Sie keine besonderen Kategorien personenbezogener Daten (Gesundheit, biometrische Daten, Religion, politische Meinungen, sexuelle Orientierung) in einem Feld.