Emisión de access token

POST

/oauth/token

Tres grants:

client_credentials (backend/confidencial): credenciales por
Authorization: Basic base64(client_id:client_secret) o por body.
resource (audience de la API externa) es obligatorio. Sin
refresh token: al vencer (≤15 min), pedí otro.

authorization_code (+PKCE S256, apps públicas/SPA).

refresh_token: rotación en cada uso — guardá SIEMPRE el último;
reusar uno consumido revoca toda la familia.

Solicitud

Autorización

Proporciona tu token bearer en el encabezado

Authorization

al realizar solicitudes a recursos protegidos.

Ejemplo:

Authorization: Bearer ********************

Parámetros del Body application/x-www-form-urlencodedRequerido

Ejemplos de solicitud

Shell

JavaScript

Java

Swift

PHP

Python

HTTP

Objective-C

Ruby

OCaml

Dart

curl --location '/oauth/token' \
--header 'Authorization: Bearer <token>' \
--data-urlencode 'grant_type=' \
--data-urlencode 'resource=' \
--data-urlencode 'scope=external:read' \
--data-urlencode 'client_id=' \
--data-urlencode 'client_secret=' \
--data-urlencode 'code=' \
--data-urlencode 'code_verifier=' \
--data-urlencode 'redirect_uri=' \
--data-urlencode 'refresh_token='

Respuestas

🟢200

application/json

Token emitido

Bodyapplication/json

Ejemplo

{
    "access_token": "eyJhbGciOiJSUzI1NiIs...",
    "token_type": "Bearer",
    "expires_in": 900,
    "scope": "external:read"
}

🟠400

🟠401

Modificado en 2026-08-18 00:29:45

Discovery (RFC 8414)

Revocación de refresh token (RFC 7009)