API de identidad desatendida: Flujo de contraseña olvidada desatendida para clientes y socios

Su cliente solicita un restablecimiento de contraseña

Después de que su usuario inicie el proceso de restablecimiento de contraseña, su cliente envía una solicitud POST al extremo de contraseña olvidada desatendida en su sitio de Experience Cloud (1).

Este es el URI para la solicitud POST.

/services/auth/headless/forgot_password

Incluya estos encabezados en la solicitud.

Incluya estos parámetros en el cuerpo de la solicitud.

A continuación se proporciona un ejemplo de solicitud para un cliente público que está utilizando una plantilla de email personalizada. Incluye un token reCAPTCHA para la seguridad y un parámetro emailtemplate con el nombre del desarrollador de una plantilla personalizada.

POST /services/auth/headless/forgot_password HTTP/1.1
Host: MyDomainName.my.site.com
Content-Type: application/json
{
    "username":"lhansen@example.com",,
    "emailtemplate":"unfiled$public/SalesNewCustomerEmail",
    "recaptcha": "<recaptcha token>"
}

A continuación se incluye un ejemplo de solicitud para un cliente privado que está utilizando la plantilla de email predeterminada. Incluye un token de acceso por seguridad.

POST /services/auth/headless/forgot_password HTTP/1.1
Host: MyDomainName.my.site.com
Authorization: Bearer 00DR****************
Content-Type: application/json

{
    "username": "lhansen@example.com"
}

A continuación se incluye un ejemplo de solicitud para un cliente privado que utiliza la detección de usuarios desatendida.

POST /services/auth/headless/forgot_password HTTP/1.1
Host: MyDomainName.my.site.com
Authorization: Bearer 00DR****************
Content-Type: application/json

{
    "login_hint": "<user identifier such as email address, phone number, order number>",
    "customdata": {
        "firstName": "Lyle",
        "lastName": "Hansen"
    }
}

(Opcional) El controlador de detección de usuarios desatendida encuentra el usuario

Si está utilizando un controlador de detección de usuarios desatendida, el controlador acepta los parámetros login_hint y customdata, y encuentra el usuario asociado. El controlador confirma que la dirección de email o el número de teléfono del usuario está verificado.

Para obtener un controlador de ejemplo, consulte Auth.HeadlessUserDiscoveryHandler.

Salesforce devuelve un mensaje de operación correcta y verifica el nombre de usuario

Cuando Salesforce recibe correctamente la solicitud de contraseña olvidada, envía un mensaje de operación correcta al cliente (2). Si no está utilizando un controlador de descubrimiento desatendido, Salesforce verifica que el nombre de usuario coincide con una cuenta. Si el nombre de usuario no coincide con una cuenta, el flujo se detiene.

Este es un ejemplo de una respuesta satisfactoria.

{
    "status": "success",
    "status_code": "otp_sent"
}

Si la solicitud falla, Salesforce devuelve un mensaje de error describiendo la solicitud. Para la mayoría de los errores, Salesforce devuelve el mensaje de error en este formato.

{
"status_code": "<error code>",
"<error name>": "<error description>",
"status": "failed"
}

Por ejemplo, si el cliente utiliza el tipo incorrecto de solicitud HTTPS, Salesforce devuelve esta respuesta de error.

{
"status_code": "post_required",
"invalid request": "use a POST request",
"status": "failed"
}

Para el código de error invalid_recaptcha, la respuesta incluye información adicional del servicio reCAPTCHA de Google. Este es el formato de estas respuestas.

{
"status_code": "invalid_recaptcha",
"invalid_request: "invalid reCAPTCHA token",
"status": "failed",
"recaptcha_response": {
    "success": <true or false>,
    "challenge_ts": <timestamp of the challenge in ISO format (yyyy-MM-dd'T'HH:mm:ssZZ)>,
    "hostname": "<host name of the client where the reCAPTCHA was solved>",
    "error-codes": [<error codes from Google reCAPTCHA...>]
    }
}

A continuación se incluye una descripción general de las respuestas de error.

Salesforce genera y envía por email una contraseña simultánea

Salesforce verifica que hay una cuenta con el nombre de usuario del usuario en el sistema. Si la cuenta existe, genera una contraseña simultánea y la envía en un email (3) a la dirección de email de un archivo. Este email se genera utilizando la plantilla de email predeterminada o haciendo referencia a una plantilla personalizada desde el parámetro emailtemplate en la solicitud inicial. Para obtener información acerca de la personalización de la plantilla de email, consulte Personalizar email enviado desde sitios de Experience Cloud.

Su cliente envía la nueva contraseña

Cuando el cliente recibe el mensaje de operación correcta de Salesforce, el cliente muestra de forma nativa una página de restablecimiento de contraseña al usuario. Esta página debe incluir campos para la contraseña simultánea y la nueva contraseña del usuario. La nueva contraseña está sujeta a los requisitos de contraseña de Salesforce. Después de que el usuario rellene estos campos, el cliente envía a otro el nombre de usuario, la OTP y la nueva contraseña en otra solicitud POST al extremo de contraseña olvidada (4).

Incluya estos encabezados en la solicitud.

Incluya estos parámetros en el cuerpo de la solicitud.

A continuación se incluye un ejemplo de solicitud para un cliente privado.

POST /services/auth/headless/forgot_password HTTP/1.1
Host: MyDomainName.my.site.com
Authorization: Bearer 00DR****************
Content-Type: application/json

{
"username": "lhansen@example.com",
"otp" : "123abc",
"newpassword" : "abcd1234"
}

A continuación se incluye una solicitud similar para clientes públicos que no incluye un token de acceso. Como el token de reCAPTCHA se envió en la solicitud inicial, no se requiere en esta.

POST /services/auth/headless/forgot_password HTTP/1.1
Host: MyDomainName.my.site.com
Content-Type: application/json
{
"username": "lhansen@example.com",
"otp" : "123abc",
"newpassword" : "abcd1234"
}

Salesforce verifica las contraseñas y devuelve un mensaje de operación correcta

Cuando Salesforce recibe la solicitud de contraseña, verifica que la contraseña simultánea es válida y comprueba que la nueva contraseña cumple los requisitos. Si se cumplen estos dos criterios, establece la nueva contraseña. Después de cambiar la contraseña, Salesforce envía un mensaje de operación correcta al cliente (5). Este es el aspecto del mensaje de operación correcta.

{
    "status": "success",
    "status_code": "success"
}

Su cliente debe notificar al usuario que se aceptó el cambio y que puede iniciar sesión con su nueva contraseña.

Nota

Si el cliente envía una OTP incorrecta o la nueva contraseña no cumple los requisitos de seguridad estándar de Salesforce, el restablecimiento de la contraseña falla. Si el restablecimiento de contraseña falla, su cliente puede realizar un número establecido de intentos para restablecer la contraseña utilizando la misma OTP. Usted controla el número máximo de intentos en su configuración de Experience Cloud. Tras demasiados intentos fallidos, su cliente debe enviar una nueva solicitud de contraseña de restablecimiento inicial de modo que se pueda generar una nueva contraseña simultánea y enviarla por email a su usuario.

Si el cambio de contraseña no se realiza correctamente, Salesforce devuelve una respuesta de error en este formato.

{
"status_code": "<error code>",
"<error name>": "<error description>",
"status": "failed"
}

A continuación se incluye una descripción general de los errores para esta solicitud.