Bestätigungscode eingeben
POST /fapi/v1/verifications/{verification_id}:attempt · wird vom Anmeldehost der Umgebung aufgerufen
Prüft den 6-stelligen Code, den der Benutzer nach Bestätigungscode senden erhalten hat. Ein richtiger Code markiert die E-Mail-Adresse als bestätigt und verbraucht den Code; die Antwort ist 204. Ein falscher Code verbraucht einen der Versuche des Codes. Ein falscher, abgelaufener, bereits verwendeter oder aufgebrauchter Code, eine unbekannte ID und die ID eines anderen Benutzers liefern alle dieselbe Antwort 422 verification_invalid; in diesem Fall fordert der Benutzer einen neuen Code an. Erforderlich ist das Cookie __Host-idp_session des authentifizierten Benutzers; fehlt das Cookie, ist es abgelaufen oder widerrufen, wird 401 unauthenticated zurückgegeben. Eine First-Party-Anwendung auf einem anderen Ursprung kann stattdessen ihr Front-API-Zugriffstoken senden (Authorization: DPoP <token> mit einem DPoP-Nachweis; siehe Front-API-Zugriffstoken).
Anfrage
Pfadparameter:
| Parameter | Beschreibung |
|---|---|
verification_id |
Die id aus der Antwort auf das Senden. |
Header:
| Header | Erforderlich | Beschreibung |
|---|---|---|
Idp-Client |
ja | SDK-Kennung. |
Origin |
ja | Muss genau https://<Anmeldehost> sein. |
Content-Type |
ja | application/json. |
Body:
| Feld | Typ | Erforderlich | Beschreibung |
|---|---|---|---|
code |
string | ja | Der 6-stellige Code aus der E-Mail. |
Antwort
204 No Content; die E-Mail-Adresse ist bestätigt.
Fehler
| Status | Code | Wann |
|---|---|---|
| 400 | malformed_request |
Der Body ist kein gültiges JSON. |
| 400 | unknown_field |
Der Body enthält ein anderes Feld als code. |
| 401 | unauthenticated |
Kein gültiges Sitzungs-Cookie. |
| 403 | origin_not_allowed |
Origin fehlt oder ist falsch. |
| 403 | test_feature_not_in_production |
Der Code ist der feste Testcode 424242 und die Umgebung ist Produktion. Der Versuch ist wie ein falscher Code aufgebraucht. |
| 413 | payload_too_large |
Der Body ist zu groß. |
| 415 | unsupported_media_type |
Content-Type ist nicht application/json. |
| 422 | validation_failed |
code fehlt. |
| 422 | verification_invalid |
Der Code ist falsch, abgelaufen, bereits verwendet oder die Versuche sind aufgebraucht, oder die ID ist unbekannt. |
Beispiel
curl -X POST https://example.keenauth.app/fapi/v1/verifications/0190a5c4-1b2c-7d3e-8f40-5162738400ff:attempt \
-H "Idp-Client: my-app/1.0.0 (node/22.0.0)" \
-H "Origin: https://example.keenauth.app" \
-H "Content-Type: application/json" \
-b cookies.txt \
-d '{"code": "123456"}'