Uso de un token de actualización

El flujo de tokens de actualización es una forma más segura de autorizar solicitudes a la API. En lugar de utilizar directamente una única credencial de larga duración, se intercambia un token de actualización por un token de acceso de corta duración. Cuando ese token de acceso caduca, se vuelve a realizar el intercambio.

Ten en cuenta que el token de actualización no puede utilizarse por sí solo para autorizar solicitudes a la API; siempre debe intercambiarse primero por un token de actualización.

Para utilizar este flujo, selecciona la opción refresh token al crear un token en Admin → Developer. Al crearlo, recibirás tres valores:

• Client ID – identifica tu integración

• Client secret – autentica la solicitud de intercambio

• Refresh token – se utiliza para obtener tokens de acceso

Intercambiar un token de actualización por un token de acceso

Envía una solicitud POST al endpoint de tokens de Altium Identity.

Token Endpoint

Request Body (application/x-www-form-urlencoded)

grant_type=refresh_token
refresh_token={refresh-token}
client_id={client-id}
client_secret={client-secret}

Response

{
  "access_token": "...",
  "expires_in": 14400,
  "token_type": "Bearer",
  "refresh_token": "...",
  "scope": "..."
}

Utiliza el access_token de la respuesta para autorizar solicitudes a la API. expires_in se expresa en segundos e indica durante cuánto tiempo es válido el token de acceso.

curl Example:

curl -X POST https://auth.altium.com/connect/token \
  -H "Content-Type: application/x-www-form-urlencoded" \
  --data-urlencode "grant_type=refresh_token" \
  --data-urlencode "refresh_token={refresh-token}" \
  --data-urlencode "client_id={client-id}" \
  --data-urlencode "client_secret={client-secret}"

Integración en tu aplicación

Un patrón habitual para integraciones de larga duración:

1. Almacena el token de actualización, el ID del cliente y el secreto del cliente de forma segura (por ejemplo, en variables de entorno o en un gestor de secretos).

2. Al iniciar la aplicación, llama al endpoint de tokens para obtener un nuevo token de acceso.

3. Utiliza el token de acceso para las solicitudes a la API. Guárdalo en caché hasta que caduque.

4. Cuando caduque (estado HTTP 401 Unauthorized, o 200 OK con el código de error AuthExpiredToken en la respuesta de GraphQL), vuelve a intercambiar el token de actualización para obtener un nuevo token de acceso.

Los tokens de actualización caducan una vez transcurrido el periodo de validez configurado al crearlos (hasta 1 año). Cuando caduque un token de actualización, tendrás que crear uno nuevo en Administración → Desarrollador.

Consulta también

• Uso de un token de acceso