- Enviado
- 15 de noviembre de 2026 a las 10:27 UTC
- Autor
- Kamo
- Commit
- adc476b
ID5.6 — /auth/start acepta portal (BORROWER|PATIENT) + portalHost (+ audience=CUSTOMER, próximo relativo), pasa los envía a federation/start y los mantiene en kamo_fed_ctx a través del salto ID1.4b; un par malformado es rechazado antes de Callback / link-confirm: PORTAL -> 303 para devolver la URL solo cuando sea https en el momento exacto en el que se envía la URL El portal con el que se inició el flujo; PORTAL_MFA -> la publicación de MfaStep existente en el nuevo relé /api/federation/portal-mfa -> federation/portal/mfa (host del portal mantenido en el lado del servidor en HttpOnly kamo_portal); Un ERROR llevando returnUrl en un flujo de portal -> de vuelta al portal.Un flujo de portal nunca planta ***. @kamo/auth 0.6.1 asigna resultados desconocidos a ERROR, por lo que las rutas leen la respuesta sin procesar primero (lib/signin/portal.mjs) De lo contrario, siga la ruta exactamente como antes. ID5.7 — kamo_did (HttpOnly, Secure, Lax, 400 días, 32 bytes aleatorios) generado cuando está ausente y enviado como X-Kamo-Device-Id en cada retransmisión de inicio de sesión (login, mfa, select, inicio/devolución de llamada/vínculo de federación, sin contraseña, PASSKEY_REQUIRED de /api/login, MFA, select, PASSKEY_REQUIRED de /api/login, MFA, select, PASSKEY_REQUIRED de /api/login, MFA, select, "Su organización pide a los administradores que utilicen una clave de acceso": utilice su clave de acceso Clave de acceso / Crear una clave de acceso ahora **************** / Continuar por ahora (solo cuando Notificación de contraseña infringida después de un inicio de sesión con contraseña (SHA-1 en el navegador, SHA-2 en el servidor) Prefijo hexadecimal a /api/pwned con Add-Padding + 1.5 s, fail-quiet) con Cambia ahora / Recuérdame más tarde y un Fire-and-forget signin/breach-nudge con el *** plantado. Nueva página /secure-account?t=. Tarjetas de rechazo para PASSWORD_RESET_REQUIRED (con Restablecer mi contraseña), STAFF_ACCUUNT, BAD_PORTAL, NO_PORTAL_ACCOUNT. Cada nueva rama es inofensiva mientras securityservice no la responda (404/unknown -> comportamiento actual). Verificado: npm test 134/134 (31 nuevos), tsc clean, check-i18n-keys contra el diccionario empujado, harness shots.