CIBA (Autenticación de Canal Inverso)

const AURIS_DOMAIN = 'https://auth.tudominio.com'
const CLIENT_ID = 'tu-client-id'
const CLIENT_SECRET = 'tu-client-secret'
 
// Paso 1: Iniciar la autenticación por canal inverso
const respuestaCiba = await fetch(`${AURIS_DOMAIN}/api/oauth/ciba`, {
  method: 'POST',
  headers: {
    'Content-Type': 'application/x-www-form-urlencoded',
    'Authorization': `Basic ${btoa(`${CLIENT_ID}:${CLIENT_SECRET}`)}`,
  },
  body: new URLSearchParams({
    scope: 'openid profile',
    login_hint: '[email protected]',
    binding_message: 'Aprobar inicio de sesión en el Dashboard',
  }),
}).then(r => r.json())
 
console.log('ID de solicitud de autenticación:', respuestaCiba.auth_req_id)
console.log('El usuario recibirá una notificación...')
 
// Paso 2: Sondear para el token
const token = await sondearTokenCiba(respuestaCiba)
 
async function sondearTokenCiba(respuestaCiba) {
  const interval = respuestaCiba.interval * 1000
  const expiresAt = Date.now() + respuestaCiba.expires_in * 1000
 
  while (Date.now() < expiresAt) {
    await new Promise(resolve => setTimeout(resolve, interval))
 
    const response = await fetch(`${AURIS_DOMAIN}/api/auth/token`, {
      method: 'POST',
      headers: {
        'Content-Type': 'application/x-www-form-urlencoded',
        'Authorization': `Basic ${btoa(`${CLIENT_ID}:${CLIENT_SECRET}`)}`,
      },
      body: new URLSearchParams({
        grant_type: 'urn:openid:params:grant-type:ciba',
        auth_req_id: respuestaCiba.auth_req_id,
      }),
    })
 
    if (response.ok) {
      return await response.json()
    }
 
    const error = await response.json()
 
    if (error.error === 'authorization_pending') continue
    if (error.error === 'slow_down') {
      await new Promise(r => setTimeout(r, 5000))
      continue
    }
    if (error.error === 'expired_token') {
      throw new Error('La solicitud CIBA expiró. El usuario no respondió a tiempo.')
    }
    if (error.error === 'access_denied') {
      throw new Error('El usuario rechazó la solicitud de autenticación.')
    }
 
    throw new Error(`Error CIBA: ${error.error}`)
  }
 
  throw new Error('La solicitud CIBA expiró por tiempo de espera.')
}

# Paso 1: Iniciar la autenticación por canal inverso
curl -X POST https://auth.tudominio.com/api/oauth/ciba \
  -u "tu-client-id:tu-client-secret" \
  -H "Content-Type: application/x-www-form-urlencoded" \
  -d "scope=openid profile" \
  -d "[email protected]" \
  -d "binding_message=Aprobar inicio de sesión en el Dashboard"
 
# Respuesta:
# {
#   "auth_req_id": "1c266114-a1be-4252-8525-68e5427d093a",
#   "expires_in": 300,
#   "interval": 5
# }
 
# Paso 2: Sondear para el token (repetir cada `interval` segundos)
curl -X POST https://auth.tudominio.com/api/auth/token \
  -u "tu-client-id:tu-client-secret" \
  -H "Content-Type: application/x-www-form-urlencoded" \
  -d "grant_type=urn:openid:params:grant-type:ciba" \
  -d "auth_req_id=1c266114-a1be-4252-8525-68e5427d093a"
 
# Pendiente (HTTP 400):
# { "error": "authorization_pending" }
 
# Éxito (HTTP 200):
# {
#   "access_token": "eyJhbGciOiJSUzI1NiJ9...",
#   "token_type": "Bearer",
#   "expires_in": 3600,
#   "id_token": "eyJhbGciOiJSUzI1NiJ9...",
#   "refresh_token": "dGhpcyBpcyBhIHJlZnJlc2g..."
# }

// Modo Ping: Auris envía un POST a tu URL de callback cuando el usuario responde.
// Tu servidor luego intercambia el auth_req_id por un token.
 
// 1. Iniciar (igual que el modo sondeo, pero la aplicación está configurada para ping)
const respuestaCiba = await fetch(`${AURIS_DOMAIN}/api/oauth/ciba`, {
  method: 'POST',
  headers: {
    'Content-Type': 'application/x-www-form-urlencoded',
    'Authorization': `Basic ${btoa(`${CLIENT_ID}:${CLIENT_SECRET}`)}`,
  },
  body: new URLSearchParams({
    scope: 'openid profile',
    login_hint: '[email protected]',
    binding_message: 'Confirmar pago de EUR 49,99 a ACME Corp',
  }),
}).then(r => r.json())
 
// 2. Auris envía un POST a tu URL de callback registrada:
// POST https://tu-app.com/ciba/callback
// Content-Type: application/json
// {
//   "auth_req_id": "1c266114-a1be-4252-8525-68e5427d093a"
// }
 
// 3. Tu manejador de callback intercambia el auth_req_id por un token:
app.post('/ciba/callback', async (req, res) => {
  const { auth_req_id } = req.body
 
  const respuestaToken = await fetch(`${AURIS_DOMAIN}/api/auth/token`, {
    method: 'POST',
    headers: {
      'Content-Type': 'application/x-www-form-urlencoded',
      'Authorization': `Basic ${btoa(`${CLIENT_ID}:${CLIENT_SECRET}`)}`,
    },
    body: new URLSearchParams({
      grant_type: 'urn:openid:params:grant-type:ciba',
      auth_req_id,
    }),
  })
 
  const token = await respuestaToken.json()
  // Procesar la sesión autenticada...
 
  res.status(200).json({ ok: true })
})