---
title: "Reset 2FA (TOTP secret + recovery codes) of a user."
method: POST
path: "/api/v1/admin/users/{user_id}/2fa/reset"
tags: ["Administration"]
---

# Reset 2FA (TOTP secret + recovery codes) of a user.

`POST /api/v1/admin/users/{user_id}/2fa/reset`

## Request

- Base URL: `https://erp.eyeot.fr/api/v1`
- URL: `https://erp.eyeot.fr/api/v1/api/v1/admin/users/{user_id}/2fa/reset`
- Auth: one of:
  - HTTP bearer
  - HTTP bearer

Reset 2FA (TOTP secret + recovery codes) of a user.

    Ticket TK-20260526-0010 (CEO incident 2026-05-26) : avant ce endpoint,
    quand un user avait perdu son secret TOTP + consommé tous ses recovery
    codes, le SEUL recours était un bypass SSH `flask shell` direct sur la
    DB — action **non audit-trailée applicativement**, ce qui contournait
    le contrat de sécurité (NIST SP 800-63B §5.2.8 + ISO 27001 A.5.16).

    R336 (2026-05-28) : retrait de `@step_up_required` qui créait un
    **chicken-and-egg** soft-lock — si TOUS les admins d'une org avaient
    perdu leur 2FA simultanément (ex: vol de téléphone du seul admin),
    plus PERSONNE ne pouvait reset le 2FA puisque le step-up demandait
    précisément ce 2FA. Bug observé 2026-05-27 sur le compte
    backonsteam@gmail.com : reset password OK mais 2FA perdu sans
    possibilité d'admin reset (l'admin amine240601 avait lui-même TOTP
    bloqué). Recours = SSH SQL direct (cf historique CEO incident).

    Défense en profondeur conservée :
    - `admin:all` (privilege check fort)
    - Self-reset BLOQUÉ (ligne ci-dessous + service.py:1032)
    - Owner protection (service.py:1045 — un admin non-owner ne peut pas
      reset le 2FA du owner)
    - `reason` obligatoire 5-500 char → audit trail explicit
    - Notification email + in-app au user cible (post-fix R336)
    - Notification au owner de l'org si différent de l'acteur
    - Tous les tokens/sessions actifs de l'user cible sont révoqués

    Body attendu :
    ```
    {"reason": "string (5-500 char) — motif obligatoire pour audit"}
    ```

**Permissions requises** : `admin:all`

## Response `200`

Succès — payload `{data, meta}` (cf. API-GUIDE §3.1)

## Other responses

- `201`: Ressource créée. ID dans `data.id`.
- `400`: Validation Marshmallow échouée. `errors` détaille chaque champ invalide.
- `401`: JWT manquant, expiré ou révoqué.
- `402`: L'organisation n'a pas d'abonnement actif (paywall). Rediriger vers /activate.
- `403`: Permissions `module:action` insuffisantes pour cette route.
- `404`: Ressource introuvable (ou cross-tenant — équivalent à hidden).
- `409`: État incohérent (email dupliqué, ressource déjà dans cet état, etc.).
- `422`: Validation Marshmallow échouée. `errors` détaille chaque champ invalide.
- `429`: Trop de requêtes. Honorer le header `Retry-After` (secondes).

---

[API](https://skmtc.dev/eyeot/apis/eyeot-erp-api.md) · [All operations](https://skmtc.dev/eyeot/apis/eyeot-erp-api/llms.txt) · [OpenAPI document](https://skmtc.dev/eyeot/apis/eyeot-erp-api/revisions/42ab95222a89?raw)