Autenticazione

Crea una sessione autenticata. Con credenziali valide restituisce la coppia di token; se l'account ha la MFA attiva restituisce invece una sfida MFA da completare con /auth/mfa/verify-login.

curl -X POST https://crm.tuodominio.it/api/auth/login \
  -H "Content-Type: application/json" \
  -d '{ "identifier": "mario.rossi", "password": "•••••••", "remember": true }'

{
  "success": true,
  "data": {
    "accessToken": "eyJhbGciOiJIUzI1NiIs…",
    "accessTokenExpiresAt": "2026-07-07T15:24:00.000Z",
    "refreshToken": "9f2c1e6a…",
    "refreshTokenExpiresAt": "2026-08-06T15:09:00.000Z",
    "user": { "id": 42, "username": "mario.rossi", … }
  }
}

{
  "success": true,
  "data": { "mfaRequired": true, "mfaToken": "eyJhbGciOiJIUzI1NiIs…" }
}

Secondo passo del login quando l'account ha la MFA TOTP attiva. Scambia la sfida ricevuta dal login con la coppia di token definitiva.

Identica alla risposta di login riuscito: accessToken, refreshToken, scadenze e profilo utente.

Scambia un refresh token valido con un nuovo access token. Da chiamare quando l'access token è scaduto (o poco prima). Il refresh token resta lo stesso fino alla sua scadenza o revoca.

curl -X POST https://crm.tuodominio.it/api/auth/refresh \
  -H "Content-Type: application/json" \
  -d '{ "refreshToken": "9f2c1e6a…" }'

Revoca il refresh token (chiude la sessione). Gli access token già emessi per quella sessione smettono di essere accettati.

Restituisce il profilo dell'utente autenticato: identità, ruoli e team. Utile come "chi sono" dopo il login o al bootstrap del client.

{
  "success": true,
  "data": {
    "user": { "id": 42, "username": "mario.rossi", "roles": ["sales"], … }
  }
}

Aggiorna il profilo dell'utente autenticato. Tutti e quattro i campi sono richiesti (è una sostituzione del profilo, non una patch parziale).

Cambia la password dell'utente autenticato. È anche l'unica rotta utilizzabile quando è attivo il flag di cambio password obbligatorio (403 PASSWORD_CHANGE_REQUIRED sulle altre).

Avvia il reset self-service: body { "identifier": "username o email" }. Se l'account esiste viene inviata un'email con un link a token monouso e scadenza; la risposta 200 è sempre identica, che l'account esista o no (anti-enumeration). Rate-limited come il login.

Completa il reset col token ricevuto via email: body { "token", "newPassword", "confirmPassword" }. Il token è monouso: riutilizzarlo o usarne uno scaduto → errore.

Verifica se una password compare in data-breach noti (k-anonymity: la password non lascia il server in chiaro). Body { "password" } → risposta con isPwned, breachCount e available (false se il provider esterno non è raggiungibile: trattala come «non verificabile», non come «sicura»).

Le sessioni attive dell'utente (una per refresh token non revocato e non scaduto). current: true marca quella da cui stai chiamando.

{
  "success": true,
  "data": {
    "items": [{
      "id": "318",
      "device": "Chrome · Windows",
      "ipAddress": "93.44.…",
      "createdAt": "2026-07-07T09:12:00.000Z",
      "expiresAt": "2026-08-06T09:12:00.000Z",
      "current": true
    }]
  }
}

Revoca una singola sessione (il suo refresh token smette di funzionare e gli access token di quella sessione vengono rifiutati). Sessione inesistente o non tua → 404.

«Disconnetti ovunque tranne qui»: revoca tutte le altre sessioni e risponde con { "revokedCount": n }.

Gli ultimi accessi (riusciti e falliti) dell'utente: items di { at, status, device, ipAddress }. Query limit opzionale (default 10, massimo 50).