---
title: "R230 BUG-028 Sprint+1 — Validation step-up TOTP pour actions critiques."
method: POST
path: "/api/v1/auth/step-up"
tags: ["Authentification"]
---

# R230 BUG-028 Sprint+1 — Validation step-up TOTP pour actions critiques.

`POST /api/v1/auth/step-up`

## Request

- Base URL: `https://erp.eyeot.fr/api/v1`
- URL: `https://erp.eyeot.fr/api/v1/api/v1/auth/step-up`
- Auth: one of:
  - HTTP bearer
  - HTTP bearer

R230 BUG-028 Sprint+1 — Validation step-up TOTP pour actions critiques.

    Body : `{code: str}` (TOTP courant à 6 chiffres) — alias accepté : `totp_code`.
    Met à jour `User.last_step_up_at = now` si valide. Le décorateur
    `@step_up_required` vérifie ensuite la fraîcheur (≤ 5 min par défaut)
    sur les routes sensibles (DLQ replay, broadcast, rotate-secret, mute
    critical, delete user/org, anonymize GDPR, cancel subscription).

    Sprint +18 #25 IV-5 : la route accepte aussi `/2fa/verify-step-up`
    (alias spec). Le client doit ensuite re-appeler l'action sensible avec
    son JWT classique — pas besoin de header `X-Step-Up-Token`, l'état
    fraîcheur est server-side (`users.last_step_up_at`).

    Compliance : PCI-DSS 4.0 §8.6, NIS2 art. 21 §2(d), NIST 800-63B AAL3.

## Request body

- StepUpVerifyRequest
  - `code` string, nullable
  - `totp_code` string, nullable

## Response `200`

Succès — payload `{data, meta}` (cf. API-GUIDE §3.1)

## Other responses

- `201`: Ressource créée. ID dans `data.id`.
- `400`: Validation Marshmallow échouée. `errors` détaille chaque champ invalide.
- `401`: JWT manquant, expiré ou révoqué.
- `404`: Ressource introuvable (ou cross-tenant — équivalent à hidden).
- `409`: État incohérent (email dupliqué, ressource déjà dans cet état, etc.).
- `422`: Validation Marshmallow échouée. `errors` détaille chaque champ invalide.
- `429`: Trop de requêtes. Honorer le header `Retry-After` (secondes).

---

[API](https://skmtc.dev/eyeot/apis/eyeot-erp-api.md) · [All operations](https://skmtc.dev/eyeot/apis/eyeot-erp-api/llms.txt) · [OpenAPI document](https://skmtc.dev/eyeot/apis/eyeot-erp-api/revisions/42ab95222a89?raw)