Cerrar sesión en las demás sesiones
POST /fapi/v1/me/sessions:revoke-others · llamado desde el host de inicio de sesión del entorno
Finaliza todas las sesiones activas del usuario autenticado excepto la que realiza la solicitud, y revoca los tokens de actualización del usuario que no estén vinculados a esa sesión. Los tokens de acceso emitidos por las sesiones finalizadas se rechazan, y las aplicaciones con sesión iniciada a través de ellas reciben una notificación. Requiere la cookie __Host-idp_session del usuario autenticado; si la cookie falta, ha caducado o ha sido revocada, devuelve 401 unauthenticated. Una aplicación propia en otro origen puede enviar en su lugar su token de acceso a la API de front (Authorization: DPoP <token> con una prueba DPoP; consulte Token de acceso a la API de front). La sesión debe haberse verificado en los últimos 300 segundos; de lo contrario, la respuesta es 401 step_up_required con un desafío WWW-Authenticate según RFC 9470 (max_age=300) y no cambia nada. Inicie sesión de nuevo (por ejemplo, con max_age=0 o prompt=login) y repita la solicitud. Si no hay otra sesión, la respuesta sigue siendo 204.
Solicitud
Cabeceras:
| Cabecera | Obligatoria | Descripción |
|---|---|---|
Idp-Client |
sí | Identificador del SDK. |
Origin |
sí | Debe ser exactamente https://<host de inicio de sesión>. |
Sin cuerpo.
Respuesta
204 No Content.
Errores
| Estado | Código | Cuándo |
|---|---|---|
| 401 | unauthenticated |
No hay una cookie de sesión válida. |
| 401 | step_up_required |
La sesión se verificó hace más de 300 segundos. |
| 403 | origin_not_allowed |
Falta Origin o es incorrecta. |
Ejemplo
curl -X POST https://example.keenauth.app/fapi/v1/me/sessions:revoke-others \
-H "Idp-Client: my-app/1.0.0 (node/22.0.0)" \
-H "Origin: https://example.keenauth.app" \
-b cookies.txt