curl --request POST \
--url https://app.stockshift.io/api/v1/apps/signatures \
--header 'Authorization: Bearer <token>' \
--header 'Content-Type: application/json' \
--data '
{
"action": "devices.wipe",
"assertion": "eyJ0eXAiOiJkZXZpY2Utc2lnbmF0dXJlK2p3dCIsImFsZyI6IkVTMjU2In0.eyJzdWIiOiI3In0.c2lnbmF0dXJl"
}
'import requests
url = "https://app.stockshift.io/api/v1/apps/signatures"
payload = {
"action": "devices.wipe",
"assertion": "eyJ0eXAiOiJkZXZpY2Utc2lnbmF0dXJlK2p3dCIsImFsZyI6IkVTMjU2In0.eyJzdWIiOiI3In0.c2lnbmF0dXJl"
}
headers = {
"Authorization": "Bearer <token>",
"Content-Type": "application/json"
}
response = requests.post(url, json=payload, headers=headers)
print(response.text)<?php
$curl = curl_init();
curl_setopt_array($curl, [
CURLOPT_URL => "https://app.stockshift.io/api/v1/apps/signatures",
CURLOPT_RETURNTRANSFER => true,
CURLOPT_ENCODING => "",
CURLOPT_MAXREDIRS => 10,
CURLOPT_TIMEOUT => 30,
CURLOPT_HTTP_VERSION => CURL_HTTP_VERSION_1_1,
CURLOPT_CUSTOMREQUEST => "POST",
CURLOPT_POSTFIELDS => json_encode([
'action' => 'devices.wipe',
'assertion' => 'eyJ0eXAiOiJkZXZpY2Utc2lnbmF0dXJlK2p3dCIsImFsZyI6IkVTMjU2In0.eyJzdWIiOiI3In0.c2lnbmF0dXJl'
]),
CURLOPT_HTTPHEADER => [
"Authorization: Bearer <token>",
"Content-Type: application/json"
],
]);
$response = curl_exec($curl);
$err = curl_error($curl);
curl_close($curl);
if ($err) {
echo "cURL Error #:" . $err;
} else {
echo $response;
}package main
import (
"fmt"
"strings"
"net/http"
"io"
)
func main() {
url := "https://app.stockshift.io/api/v1/apps/signatures"
payload := strings.NewReader("{\n \"action\": \"devices.wipe\",\n \"assertion\": \"eyJ0eXAiOiJkZXZpY2Utc2lnbmF0dXJlK2p3dCIsImFsZyI6IkVTMjU2In0.eyJzdWIiOiI3In0.c2lnbmF0dXJl\"\n}")
req, _ := http.NewRequest("POST", url, payload)
req.Header.Add("Authorization", "Bearer <token>")
req.Header.Add("Content-Type", "application/json")
res, _ := http.DefaultClient.Do(req)
defer res.Body.Close()
body, _ := io.ReadAll(res.Body)
fmt.Println(string(body))
}{
"data": {
"token": "<string>",
"expires_at": "2026-09-30T10:05:00+00:00",
"method": "device_pin"
}
}{
"type": "<string>",
"title": "<string>",
"status": 123,
"code": "<string>",
"detail": "<string>",
"errors": {},
"feature": "<string>",
"reason": "<string>",
"attempts_left": 123,
"rule_ids": [
"<string>"
],
"witness": "<string>",
"blind_recount": true,
"flags": [
{
"flag": "<string>",
"facts": {},
"choices": [
"<string>"
]
}
]
}{
"type": "<string>",
"title": "<string>",
"status": 123,
"code": "<string>",
"detail": "<string>",
"errors": {},
"feature": "<string>",
"reason": "<string>",
"attempts_left": 123,
"rule_ids": [
"<string>"
],
"witness": "<string>",
"blind_recount": true,
"flags": [
{
"flag": "<string>",
"facts": {},
"choices": [
"<string>"
]
}
]
}{
"type": "<string>",
"title": "<string>",
"status": 123,
"code": "<string>",
"detail": "<string>",
"errors": {},
"feature": "<string>",
"reason": "<string>",
"attempts_left": 123,
"rule_ids": [
"<string>"
],
"witness": "<string>",
"blind_recount": true,
"flags": [
{
"flag": "<string>",
"facts": {},
"choices": [
"<string>"
]
}
]
}{
"type": "<string>",
"title": "<string>",
"status": 123,
"code": "<string>",
"detail": "<string>",
"errors": {},
"feature": "<string>",
"reason": "<string>",
"attempts_left": 123,
"rule_ids": [
"<string>"
],
"witness": "<string>",
"blind_recount": true,
"flags": [
{
"flag": "<string>",
"facts": {},
"choices": [
"<string>"
]
}
]
}{
"type": "<string>",
"title": "<string>",
"status": 123,
"code": "<string>",
"detail": "<string>",
"errors": {},
"feature": "<string>",
"reason": "<string>",
"attempts_left": 123,
"rule_ids": [
"<string>"
],
"witness": "<string>",
"blind_recount": true,
"flags": [
{
"flag": "<string>",
"facts": {},
"choices": [
"<string>"
]
}
]
}{
"type": "<string>",
"title": "<string>",
"status": 123,
"code": "<string>",
"detail": "<string>",
"errors": {},
"feature": "<string>",
"reason": "<string>",
"attempts_left": 123,
"rule_ids": [
"<string>"
],
"witness": "<string>",
"blind_recount": true,
"flags": [
{
"flag": "<string>",
"facts": {},
"choices": [
"<string>"
]
}
]
}{
"type": "<string>",
"title": "<string>",
"status": 123,
"code": "<string>",
"detail": "<string>",
"errors": {},
"feature": "<string>",
"reason": "<string>",
"attempts_left": 123,
"rule_ids": [
"<string>"
],
"witness": "<string>",
"blind_recount": true,
"flags": [
{
"flag": "<string>",
"facts": {},
"choices": [
"<string>"
]
}
]
}Firma con un PIN en un dispositivo
Este es el nivel de firma pin. El miembro elige su propio nombre en el
dispositivo, sin nada preseleccionado, e ingresa su PIN de firma. La app
lo comprueba contra el verificador del miembro en el dispositivo, así que el PIN nunca
llega al servidor. Luego la app llama a este endpoint con el token de acceso propio de ese miembro
desde este dispositivo. Agrega una prueba DPoP de la clave del dispositivo
que lleva el nonce del servidor, y una aserción que firmó la clave del dispositivo. La
respuesta es un token de firma para la Action que funciona una sola vez, durante
cinco minutos, con el método device_pin. Envíalo como encabezado Signature-Token
de la solicitud firmada, con el mismo token de acceso. La respuesta
incluye un DPoP-Nonce nuevo para la siguiente firma.
Rechazos: use_dpop_nonce (400) cuando la prueba no tiene el nonce actual,
con el nonce con el que se debe firmar de nuevo. invalid_dpop_proof (400) cuando la
prueba no es válida o no la firmó la clave de este dispositivo. session_expired
(401) cuando el miembro no tiene una sesión activa en el dispositivo. device_revoked
(401) y device_wiped (410) para un dispositivo que ya no se puede usar.
422 cuando la acción no es una Action firmada. 404 para un token que
no se emitió a una app.
Una aserción rechazada responde signature_assertion_invalid (400) con
attempts_left. Se registra en el historial de auditoría y cuenta para el
bloqueo del miembro en el dispositivo, igual que un PIN incorrecto. La quinta seguida termina las
sesiones del miembro en el dispositivo (pin_locked), así que debe iniciar sesión
de nuevo en la web. Una firma exitosa reinicia el conteo. Cada rechazo, y el
bloqueo, avisa a los miembros que revisan las firmas.
curl --request POST \
--url https://app.stockshift.io/api/v1/apps/signatures \
--header 'Authorization: Bearer <token>' \
--header 'Content-Type: application/json' \
--data '
{
"action": "devices.wipe",
"assertion": "eyJ0eXAiOiJkZXZpY2Utc2lnbmF0dXJlK2p3dCIsImFsZyI6IkVTMjU2In0.eyJzdWIiOiI3In0.c2lnbmF0dXJl"
}
'import requests
url = "https://app.stockshift.io/api/v1/apps/signatures"
payload = {
"action": "devices.wipe",
"assertion": "eyJ0eXAiOiJkZXZpY2Utc2lnbmF0dXJlK2p3dCIsImFsZyI6IkVTMjU2In0.eyJzdWIiOiI3In0.c2lnbmF0dXJl"
}
headers = {
"Authorization": "Bearer <token>",
"Content-Type": "application/json"
}
response = requests.post(url, json=payload, headers=headers)
print(response.text)<?php
$curl = curl_init();
curl_setopt_array($curl, [
CURLOPT_URL => "https://app.stockshift.io/api/v1/apps/signatures",
CURLOPT_RETURNTRANSFER => true,
CURLOPT_ENCODING => "",
CURLOPT_MAXREDIRS => 10,
CURLOPT_TIMEOUT => 30,
CURLOPT_HTTP_VERSION => CURL_HTTP_VERSION_1_1,
CURLOPT_CUSTOMREQUEST => "POST",
CURLOPT_POSTFIELDS => json_encode([
'action' => 'devices.wipe',
'assertion' => 'eyJ0eXAiOiJkZXZpY2Utc2lnbmF0dXJlK2p3dCIsImFsZyI6IkVTMjU2In0.eyJzdWIiOiI3In0.c2lnbmF0dXJl'
]),
CURLOPT_HTTPHEADER => [
"Authorization: Bearer <token>",
"Content-Type: application/json"
],
]);
$response = curl_exec($curl);
$err = curl_error($curl);
curl_close($curl);
if ($err) {
echo "cURL Error #:" . $err;
} else {
echo $response;
}package main
import (
"fmt"
"strings"
"net/http"
"io"
)
func main() {
url := "https://app.stockshift.io/api/v1/apps/signatures"
payload := strings.NewReader("{\n \"action\": \"devices.wipe\",\n \"assertion\": \"eyJ0eXAiOiJkZXZpY2Utc2lnbmF0dXJlK2p3dCIsImFsZyI6IkVTMjU2In0.eyJzdWIiOiI3In0.c2lnbmF0dXJl\"\n}")
req, _ := http.NewRequest("POST", url, payload)
req.Header.Add("Authorization", "Bearer <token>")
req.Header.Add("Content-Type", "application/json")
res, _ := http.DefaultClient.Do(req)
defer res.Body.Close()
body, _ := io.ReadAll(res.Body)
fmt.Println(string(body))
}{
"data": {
"token": "<string>",
"expires_at": "2026-09-30T10:05:00+00:00",
"method": "device_pin"
}
}{
"type": "<string>",
"title": "<string>",
"status": 123,
"code": "<string>",
"detail": "<string>",
"errors": {},
"feature": "<string>",
"reason": "<string>",
"attempts_left": 123,
"rule_ids": [
"<string>"
],
"witness": "<string>",
"blind_recount": true,
"flags": [
{
"flag": "<string>",
"facts": {},
"choices": [
"<string>"
]
}
]
}{
"type": "<string>",
"title": "<string>",
"status": 123,
"code": "<string>",
"detail": "<string>",
"errors": {},
"feature": "<string>",
"reason": "<string>",
"attempts_left": 123,
"rule_ids": [
"<string>"
],
"witness": "<string>",
"blind_recount": true,
"flags": [
{
"flag": "<string>",
"facts": {},
"choices": [
"<string>"
]
}
]
}{
"type": "<string>",
"title": "<string>",
"status": 123,
"code": "<string>",
"detail": "<string>",
"errors": {},
"feature": "<string>",
"reason": "<string>",
"attempts_left": 123,
"rule_ids": [
"<string>"
],
"witness": "<string>",
"blind_recount": true,
"flags": [
{
"flag": "<string>",
"facts": {},
"choices": [
"<string>"
]
}
]
}{
"type": "<string>",
"title": "<string>",
"status": 123,
"code": "<string>",
"detail": "<string>",
"errors": {},
"feature": "<string>",
"reason": "<string>",
"attempts_left": 123,
"rule_ids": [
"<string>"
],
"witness": "<string>",
"blind_recount": true,
"flags": [
{
"flag": "<string>",
"facts": {},
"choices": [
"<string>"
]
}
]
}{
"type": "<string>",
"title": "<string>",
"status": 123,
"code": "<string>",
"detail": "<string>",
"errors": {},
"feature": "<string>",
"reason": "<string>",
"attempts_left": 123,
"rule_ids": [
"<string>"
],
"witness": "<string>",
"blind_recount": true,
"flags": [
{
"flag": "<string>",
"facts": {},
"choices": [
"<string>"
]
}
]
}{
"type": "<string>",
"title": "<string>",
"status": 123,
"code": "<string>",
"detail": "<string>",
"errors": {},
"feature": "<string>",
"reason": "<string>",
"attempts_left": 123,
"rule_ids": [
"<string>"
],
"witness": "<string>",
"blind_recount": true,
"flags": [
{
"flag": "<string>",
"facts": {},
"choices": [
"<string>"
]
}
]
}{
"type": "<string>",
"title": "<string>",
"status": 123,
"code": "<string>",
"detail": "<string>",
"errors": {},
"feature": "<string>",
"reason": "<string>",
"attempts_left": 123,
"rule_ids": [
"<string>"
],
"witness": "<string>",
"blind_recount": true,
"flags": [
{
"flag": "<string>",
"facts": {},
"choices": [
"<string>"
]
}
]
}Autorizaciones
Cómo inician sesión las apps de StockShift. La app abre /apps/authorize en el navegador del sistema con un desafío PKCE S256 y la huella de su llave de dispositivo. El miembro inicia sesión allí, con todas las comprobaciones que aplica la web. El navegador devuelve un código a la app, que lo canjea en POST /apps/token con el verificador PKCE y una prueba DPoP (RFC 9449) firmada por la llave del dispositivo. La respuesta incluye un token de acceso de una hora, que se envía como token bearer en cada llamada, y un token de actualización rotativo de 30 días. Una actualización necesita una prueba DPoP con el último nonce del servidor, así que un token de actualización robado no sirve sin la llave del dispositivo. Una sesión termina como máximo 180 días después de iniciar sesión. Cada solicitud de la app lleva StockShift-Client: / (), como ios/1.4.2 (311). Por debajo del mínimo de GET /apps/version-policy, una llamada recibe la respuesta 426 client_upgrade_required con el mínimo y el enlace a la tienda. Por debajo de la versión deprecated-below funciona y la respuesta añade StockShift-Client-Deprecated: sunset=; minimum=. Iniciar y cerrar sesión, el estado del dispositivo, el acuse de borrado y las llamadas de bloqueo por PIN, y la política de versiones responden a cualquier versión.
Cuerpo
Una firma con PIN desde un dispositivo: la acción firmada y la aserción que firmó la clave del dispositivo, con una prueba DPoP en el encabezado DPoP.
La Action que se firma, por su nombre público, como se nombra en POST /api/v1/access/signatures/start.
devices.wipe, engineering.ecos.approve, inventory.periods.reopen, inventory.verifications.request, inventory.verifications.witness, sales.certificates.sign, sales.shipments.post-certified "devices.wipe"
El device-signature+jwt que firmó la clave del dispositivo una vez comprobado el PIN. Sus claims son sub, device, act, meaning, digest, pin, iat y jti.
8192"eyJ0eXAiOiJkZXZpY2Utc2lnbmF0dXJlK2p3dCIsImFsZyI6IkVTMjU2In0.eyJzdWIiOiI3In0.c2lnbmF0dXJl"
Respuesta
DeviceSignatureResource
El token de firma que da una firma con PIN en un dispositivo.
Show child attributes
Show child attributes
¿Esta página le ayudó?