Authentification

R230 BUG-028 Sprint+1 — Validation step-up TOTP pour actions critiques.

R230 BUG-028 Sprint+1 — Validation step-up TOTP pour actions critiques.

Body : `{code: str}` (TOTP courant à 6 chiffres) — alias accepté : `totp_code`.
Met à jour `User.last_step_up_at = now` si valide. Le décorateur
`@step_up_required` vérifie ensuite la fraîcheur (≤ 5 min par défaut)
sur les routes sensibles (DLQ replay, broadcast, rotate-secret, mute
critical, delete user/org, anonymize GDPR, cancel subscription).

Sprint +18 #25 IV-5 : la route accepte aussi `/2fa/verify-step-up`
(alias spec). Le client doit ensuite re-appeler l'action sensible avec
son JWT classique — pas besoin de header `X-Step-Up-Token`, l'état
fraîcheur est server-side (`users.last_step_up_at`).

Compliance : PCI-DSS 4.0 §8.6, NIS2 art. 21 §2(d), NIST 800-63B AAL3.
post/api/v1/auth/step-up

Request

  • Base URL: https://erp.eyeot.fr/api/v1
  • URL: https://erp.eyeot.fr/api/v1/api/v1/auth/step-up
  • Auth: one of:
    • HTTP bearer
    • HTTP bearer

Request body

codestring nullable
totp_codestring nullable

Response

Succès — payload {data, meta} (cf. API-GUIDE §3.1)

Changes

No recorded changes to this operation across all 1 revision of this API.