RFC 9470 — Step-Up Authentication

OAuth 2.0 Step-Up Authentication Challenge Protocol

Спецификация: RFC 9470

Step-Up Authentication позволяет resource servers запрашивать дополнительную аутентификацию, когда пользователю необходимы повышенные привилегии для чувствительных операций.

WWW-Authenticate Challenge

Ошибка insufficient_user_authentication
Параметр acr_values в challenge — запрос конкретного authentication context
Параметр max_age в challenge — требование недавней аутентификации

Authorization Request

Параметр acr_values — запрошенный authentication context class
Параметр max_age — максимальный возраст аутентификации

ID Token Claims

Claim acr — Authentication Context Class Reference
Claim auth_time — время аутентификации

Сценарии использования

Step-up authentication обеспечивает:

Повторную аутентификацию перед чувствительными операциями (удаление аккаунта, смена пароля)
MFA-челленджи для транзакций с высоким риском
Требования повторной аутентификации на основе времени