Modifier le mot de passe
POST /fapi/v1/me/password · appelé depuis l'hôte de connexion de l'environnement
Modifie le mot de passe de l'utilisateur connecté. Le mot de passe actuel est vérifié ; le nouveau mot de passe doit respecter la politique de mot de passe de l'environnement, la vérification des mots de passe compromis et la règle d'historique des mots de passe. En cas de succès, toutes les autres sessions et tous les autres jetons de rafraîchissement de l'utilisateur sont révoqués, cette session reste connectée, et une notification de sécurité est envoyée aux adresses e-mail de l'utilisateur. Requiert le cookie __Host-idp_session de l'utilisateur authentifié. Une application de première partie sur une autre origine peut à la place envoyer son jeton d'accès à l'API front (Authorization: DPoP <token> avec une preuve DPoP ; voir Jeton d'accès à l'API front).
Requête
En-têtes :
| En-tête | Requis | Description |
|---|---|---|
Idp-Client |
oui | Identifiant du SDK. |
Origin |
oui | Doit être exactement https://<hôte de connexion>. |
Corps :
{"current_password": "…", "new_password": "…"}
Réponse
204 No Content.
Erreurs
| Statut | Code | Quand |
|---|---|---|
| 401 | unauthenticated |
Aucun cookie de session valide. |
| 401 | step_up_required |
La session n'a pas été vérifiée au cours des 5 dernières minutes ; vérifiez à nouveau avec max_age=300 dans l'en-tête WWW-Authenticate. Rien n'est vérifié ni comptabilisé. |
| 401 | invalid_credentials |
Le mot de passe actuel est incorrect. Les échecs répétés verrouillent le mot de passe de la même façon que lors de la connexion. |
| 403 | origin_not_allowed |
Origin est absent ou incorrect. |
| 422 | password_policy_violation |
Le nouveau mot de passe ne respecte pas la politique ; errors[] liste chaque règle non respectée pour /new_password (too_short, too_long, context_term, custom_term, repeated_chars, invalid_text, reused). |
| 422 | breached_password |
Le nouveau mot de passe figure dans une fuite de données connue. |
| 503 | temporarily_unavailable |
Le serveur est occupé ; réessayez après le nombre de secondes indiqué dans Retry-After. |
Exemple
curl -X POST https://example.keenauth.app/fapi/v1/me/password \
-H "Idp-Client: my-app/1.0.0 (node/22.0.0)" \
-H "Origin: https://example.keenauth.app" \
-H "Content-Type: application/json" \
-d '{"current_password": "…", "new_password": "…"}' \
-b cookies.txt
Données personnelles
Cet endpoint traite des données personnelles : des identifiants. Données personnelles dans les API KeenAuth décrit ce qui est stocké, pendant combien de temps et comment elles sont supprimées. N'envoyez pas de catégories particulières de données personnelles (santé, données biométriques, religion, opinions politiques, orientation sexuelle) dans aucun champ.