Buscar en la documentación

Códigos de recuperación

Para qué sirven los 8 códigos de un solo uso, cómo se usan al ingresar y cómo se generan unos nuevos desde Mi cuenta.

Módulo auth1 min de lecturaVer en GitHub

Al activar la verificación en dos pasos, la persona recibe 8 códigos de recuperación de un solo uso. Sirven cuando no tiene el teléfono a mano: al ingresar y al recuperar la contraseña puede escribir uno en lugar del código de la aplicación. Cada uso le envía un aviso por correo.

Trazo solo guarda el hash SHA-256 de cada código. Por eso no puede mostrarlos de nuevo: si la persona los pierde o se le acaban, genera unos nuevos desde Mi cuenta. Este diagrama muestra ese camino. Cuando quedan 2 o menos, Mi cuenta muestra un aviso para generarlos.

Diagrama5 carriles · 9 pasos · 2 salidas de error
SíNoSíNoPulsa "Generarcódigos nuevos" enMi cuenta1Pide el códigoactual de laaplicación2Escribe el códigode la aplicación3Envía POST/auth/mfa/recovery-codes4¿Tiene el MFAactivo?5Responde 409¿Código válidoy sin usar?6Responde 422Borra losanteriores y guarda8 nuevos con hash7Aviso de códigosregenerados8Muestra los 8códigos una solavez9
Los números coinciden con el paso a paso. En pantallas pequeñas el diagrama se desliza de lado.

Paso a paso

  1. PersonaPulsa "Generar códigos nuevos" en Mi cuenta

    Mi cuenta dice cuántos códigos quedan y avisa cuando son 2 o menos.

  2. NavegadorPide el código actual de la aplicación

    Diálogo AppCodeDialog, que avisa que los códigos anteriores dejarán de servir.

  3. PersonaEscribe el código de la aplicación
  4. NavegadorEnvía POST /auth/mfa/recovery-codes

    Límite mfa: 5 por minuto por persona.

  5. API¿Tiene el MFA activo?
  6. API¿Código válido y sin usar?

    El mismo control del ingreso: ventana de ±30 s y un código ya usado no vuelve a servir.

  7. Base de datosBorra los anteriores y guarda 8 nuevos con hash
  8. CorreoAviso de códigos regenerados
  9. NavegadorMuestra los 8 códigos una sola vez

    Con "Copiar todos" y "Descargar .txt".

Qué ve la persona en cada error

CódigoHTTPCuándoMensaje en pantalla
MFA_NOT_ENABLED409La cuenta ya no tiene el MFA (por ejemplo, un Super admin lo restableció)Tu cuenta no tiene activa la verificación en dos pasos. Recarga la página para ver su estado actual.
MFA_CODE_INVALID422El código no correspondeEl código no es correcto. Escribe el que muestra ahora tu aplicación de autenticación.
MFA_CODE_ALREADY_USED422El código ya se usó en esa ventana de 30 sEse código ya se usó. Espera a que tu aplicación muestre uno nuevo (cambia cada 30 segundos) y escríbelo.
TOO_MANY_REQUESTS429Más de 5 intentos en un minutoHiciste demasiados intentos seguidos. Espera {wait} y vuelve a intentarlo.

Dónde está en el código