Sesiones
La sesión es estado compartido, y se puede retirar.
AUTH4US guarda las sesiones donde todos los nodos las ven, registra cómo se autenticó cada persona y las invalida cuando cambia lo que las respaldaba.
- Descubrir
- Autorizar
- Probar
- Verificar
- Consentir
- Emitir
- Sesión
- Revocar
Sesión
Una sesión que vive en todos los nodos y muere cuando debe.
Cada sesión guarda cómo se autenticó la persona (AMR) y con qué garantía (AAL). La persona revoca las suyas; un operador, las de otros con step-up.
Tus sesiones activas
Vista de autoservicio con datos sintéticos.
Portátil · navegadorEsta sesión
Inicio hace 2 h, AMR
pwd + otp, AAL2Teléfono · navegador
Inicio ayer, AMR
pwd, AAL1Tableta · navegador
Inicio hace 3 h, AMR
hwk, AAL2Equipo compartido · navegador
Inicio hace 6 h, AMR
pwd, AAL1
Cambio de contraseña
El sello rota
Las sesiones existentes caducan
Se revocan las concesiones de acceso y refresco
El sello de seguridad cierra lo que ya no es válido.
Cada sesión nace atada al sello de la persona. Cambiar o restablecer la contraseña rota el sello, revoca las sesiones y también los tokens de acceso y refresco.
- Persona → AUTH4US: Cambiar contraseña (con step-up)
- AUTH4US → AUTH4US: Rota el sello; revoca sesiones y grants
- Otra sesión → AUTH4US: Siguiente petición con la cookie anterior
- AUTH4US → Otra sesión: Sello distinto: sesión revocada
Si falta información, se completa y se retoma.
Un tenant puede exigir campos de perfil. AUTH4US los pide en su propia pantalla y vuelve a la aplicación con una continuación relativa de un solo uso.
- Aplicación → AUTH4US: /connect/authorize
- AUTH4US → Persona: Faltan campos obligatorios: completar perfil
- Persona → AUTH4US: POST /api/me/complete (CSRF)
- AUTH4US → AUTH4US: Consume la continuación de un solo uso
- AUTH4US → Aplicación: Retoma la autorización
La continuación es relativa: las URLs absolutas o protocol-relative se rechazan.
Consola y productos no comparten credenciales.
La consola de operación usa su cookie de sesión. Tus productos usan tokens OIDC obtenidos por el flujo de autorización. Mezclar ambos canales no está permitido por diseño.
Operador
Consola, cookie HttpOnly, CSRF en cada mutación, permisos RBAC del catálogo.
Producto
Authorization code + PKCE, access token en memoria, verificación con JWKS.
Veámoslo con tus aplicaciones.
Una demostración con datos sintéticos: tus flujos, tus métodos de entrada y tu modelo de tenants.