Revocación de Token OAuth

La revocación de tokens de OAuth en MercadoLibre se asemeja al estándar de la IETF, el cual establece que, para la revocación de tokens generados a través del protocolo OAuth 2.0, el cliente puede notificar al servidor de autorización que un token de acceso específico ya no debe ser considerado como válido. Adicionalmente, esta característica nos va a permitir accionar bajo demanda ante alguna eventualidad que se presente, sin importar el tiempo de expiración del token es decir, no debemos esperar que el token expire su vigencia. La request de revocación de un token se realiza mediante una petición HTTP POST al endpoint de revocación. Dicha request debe incluir el token que se desea revocar. El formato del cuerpo de la request debe ser application/x-www-form-urlencoded y contener un parámetro ‘token’ con el valor del token a revocar. Como respuesta el servidor indica si el token fue revocado correctamente. Si fue exitosa, el servidor devuelve un código de estado HTTP 200. Si el token no pudo ser revocado, se devuelve un código de estado HTTP 4xx o 5xx. Como requisito de seguridad el estándar establece medidas para garantizar que solo el titular legítimo del token pueda revocar. Esto incluye la autenticación del cliente que realiza la solicitud de revocación. Utilizando un token de acceso válido generado por la audience “revoke” para la cual el proveedor logístico debe habilitar la generación de token.

Adicionalmente a la autenticación, el cliente debe tener los permisos adecuados para realizar la revocación del token (audience). Por ejemplo, un token solo puede ser revocado por el mismo cliente y con la audiencia “revoke”. Nunca se deberá poder revocar un token si el token de la cabecera es el mismo al que se solicita revocar.

Request

curl -X POST https://service_url/oauth/revoke  
  -H 'Authorization: Bearer NEW_ACCESS_TOKEN_WITH_REVOKE_AUDIENCE' 
  -H 'Content-Type: application/x-www-form-urlencoded' 
  -d 'token=ACCESS_TOKEN_TO_REVOKE'

Formatos de response para Revocación de Token OAuth

2xx OK

{
    "status": "OK"
}

4XX FAILED

{
    "status": "FAILED",
    "message": "Mensaje descriptivo que indica el motivo de la falla"
}

5XX ERROR

{
    "status": "ERROR",
    "message": "Mensaje descriptivo que indica el motivo del error en el servidor"
}