ym88659208ym87991671
Шаг 2. Запрос access token и id token | Документация для разработчиков
Развернуть

Шаг 2. Запрос access token и id token

Обновлено 22 декабря 2025

На Схеме взаимодействия обозначен как «13. Запрос access token, id token».

Параметры запроса

Для успешного выполнения запроса необходимо использовать сертификат, полученый при регистрации приложения на портале Сбер ID , по нашей документации.

Back-end Партнера инициирует запрос в back-end Банка на получение access token и Id token, направляя в запросе полученный ранее код авторизации.

Партнер также может получить длинноживущий (30 дней) refresh token, который в дальнейшем позволяет обновлять короткоживущий access token. Для этого в запросе на авторизацию Партнер должен передать дополнительный scope со значением offline_access.

Пример запроса на получение access token, refresh token и Id token:

POST 'https://oauth-ift.sber.ru/ru/prod/tokens/v2/oidc' \
--header 'accept: application/json' \
--header 'rquid: 012345678901234567890123456789FF' \
--header 'content-Type: application/x-www-form-urlencoded' \
--data-urlencode 'grant_type=authorization_code' \
--data-urlencode 'code=FC49F1EA-245A-0FCD-2077-F3F73******' \
--data-urlencode 'client_id=5e7ee80a-6724-4078-8ee4-1dd63******' \
--data-urlencode 'client_secret=L4hE5nH3wB5lC6sP0bO7bA6yM5bH5hA3lN3******' \
--data-urlencode 'redirect_uri=https://api.developer.sber.ru/'

Важно!

Время timeout для ответа Сбер API — 10 сек.

Описание полей  запроса на получение access token и id token

№   п/пНаименование заголовка/поляЗаголовок / ПолеОписаниеОбязательность поля
1RqUIDЗаголовокУникальный идентификатор сообщения, «length=32 и pattern=([0-9][a-f][A-F])32)», переданный во входящем сообщении. Необходим для журналирования входящих вызовов и удобства разбора инцидентов. Чтобы обеспечить уникальность, можно использовать стандартные библиотеки и классы для генерации UUID/GUID (https://ru.wikipedia.org/wiki/UUID ), убрав из результата разделители «-».Да
2content-typeЗаголовокВсегда принимает значение "application/x-www-form-urlencoded"Нет
3acceptЗаголовокМожет принимать значения application/json или application/jwt.Нет
4grant_typeПолеУказывается равным authorization_code.Да
5codeПолеКод авторизации, полученный от Банка. (См. Ответ на запрос кода авторизации).` Да
6redirect_uriПолеЗначение параметра redirect_uri было указано в запросе кода авторизации. Параметр redirect_uri должен быть передан в Сбер ID без изменений, символ в символ (RFC 6749, раздел 4.1.3) . Например, https://site.ru, HTTPS://SITE.RU и https://site.ru/ в запросах к Сбер ID считываются, как три разных редиректа.Да
7client_idПолеИдентификатор системы Партнера, полученный партнером в личном кабинете после регистрации приложения.Да
8client_secretПолеПароль системы Партнера, полученный партнером в личном кабинете после регистрации приложения.Да
9code_verifierПолеОбязательный параметр, если партнер при реализации входа в приложение использует протокол PKCE и в запросе кода авторизации указывают code_challenge и code_challenge_method. Если партнер не использует протокол PKCE, параметр указывать не нужно.Нет

Параметры ответа

В случае успешной обработки запроса Back партнера получает access token и Id token. Ответ типа HTTP 200 OK. Описание полей ответа приведено в таблице Описание полей ответа.

Пример JSON сообщения - ответа в случае успешной обработки запроса:

HTTP/1.1 200 OK rquid: 012345678901234567890123456789FF { "access_token":"f213a511-58d7-4e7c-88b3-a6de380c81da",
"token_type":"bearer", "expires_in":60, "scope": "openid name email",
"id_token":"eyJhbGciOiJub25lIn0.eyJzdWIiOiI5ODg5YmQ2NDAzYzk0Nzg4ZGI0ZDY5ODVjY2U4MWViNz
c4MDE5NTU5ZTc3MWQyNTczMzFjODljMWUzMGY5NzRmZGJlOTQwODQ0YTg2ZGRjMyIsImF1dGhfdGltZSI6MTU2
ODk4MzE0Niwibm9uY2UiOiJMaXdrZEtoSU9ockRLdkpYMXNndkI1eGtrRlVWMm01am5BWUs3ZlhUSFNFIiwiaX
NzIjoiaHR0cHM6Ly9pZnQtY3NhLnRlc3RvbmxpbmUuc2JlcmJhbmsucnU6NDQ1Ni9DU0FGcm9udC9pbmRleC5k
byIsImlhdCI6MTU2ODk4MzE1OSwiZXhwIjoxNTY4OTgzNDQ2LCJhdWQiOiJFMzJCODZDMi1FNTUxLUREODMtNT JGRi1GREE2MjA2Q0VBM0MifQ.", "refresh_token": "06728b1a-1ecb-4dd6-b462-9e11c24f9efd" }

Описание полей ответа

№   п/пНаименование поляОписаниеПример
1access_tokenСгенерированный Access token.f213a511-58d7-4e7c-88b3-a6de380c81da
2token_typeТип запрашиваемого токена. Всегда передается значение «Bearer».Bearer
3expires_inВремя в секундах, в течение которого действует Access Token.60
4scopeСписок групп персональных данных, на получение которых выдан данный токен. В список так же по умолчанию включается название сервиса APIopenid name https://api.sberbank.ru/sberbankid/userinfo
5id_tokenЗакодированный набор атрибутов пользователя в формате base64_url, необходимый для идентификации пользователя.eyJhbGciOi-IgZ29zdDM0LTEwLjIwMTIifQ.ewogImlzcyI6ICJodHRwOi8vc2VydmVyLmV4YW1wbGUuY29tIiwKICJzdWIiOiAiMjQ4Mjg5NzYxMDAxIiwKICJhdWQiOiAiMTAwMSIsCi-Aibm9uY2UiOiAibi0wUzZfV3pBMk1qIiwKICJleHAiOiAxMzExMjg0NTcwLAogImlhdCI6IDEzMTEyODA5NzAK4oCcc2lkMuKAnTrigJ0xMjM0NTY4Nzk5MjU14oCdIAog4oCcbmFtZSI6IOKAnNCY0LLQsNC90L7QsiDQmNCy0LDQvSDQmNCy0LDQvdC+0LLQuNGH4oCdCn0.EJqZnRKZVo0Q1ZQLW1COTJLMjd1aGJVSlUxcDFyX3dXMWdGV0ZPRWpYaw
6refresh_tokenТокен, используемый для получения нового access token. Срок жизни составляет 30 дней.06728b1a-1ecb-4dd6-b462-9e11c24f9efd

Пример ID Token:

{
    "iss": "id.sber.ru",
    "sub": "74c64d08bdd5e6f2b94770e9fed9342b9054f22bea1571e68448c8cae83e0d80ec206549e11d13fc",
    "sub_alt": "33ab606d1f18743e9f6cdfe2246525cda981513a118381046541be8e183e0d80ec206549e11d13fc",
    "aud": "DA5278AC - A07F - C01A -B2D3 - C231DBB2E20F",
    "exp": 141254872,
    "iat": 1411250872,
    "auth_time": 1411250871,
    "nonce": "n - 0 S6_WzA2Mj",
    "acr": "urn:sber:id:loa35"
}

Описание полей ID Token

№   п/пНаименование поляОписаниеПримечание
1subНеизменный уникальный идентификатор клиента в АС Банка, передаваемый внешним потребителям.Максимальная длина 96 символов.Идентификатор клиента банка, используемый внешними АС.  Идентификатор может быть  сохранен у Партнера. 
2sub_altДополнительный идентификатор клиента в АС Банка, передаваемый внешним потребителям.Максимальная длина 96 символов.Дополнительный идентификатор (Sub) производные от учетной записи клиента, связанных с учетной записью, по которой сформирован основной Sub. Идентификатор может быть сохранен у Партнера. Обработка Alt_Sub дает возможность автоматически устранить стороне партнера последствия дедупликаций и слияния УЗ клиентов (учет специфики Банка). Может прийти несколько sub_alt по одному клиенту в зависимости от количества дедупликаций.
3issURL сервиса (URL АС банка), сформировавшего ID Token.
4audИдентификатор внешней АС/ресурсной системы (client_id).При получении ID_Token партнеру необходимо сравнить значение aud  со значением своего client_id. Если значения не совпадают, то партнер должен завершить сценарий без авторизации клиента на своем ресурсе.
5expВремя, до наступления которого гарантируется неизменность информации о клиенте в составе ID Token.
6iatВремя формирования ID Token.
7auth_timeВремя аутентификации клиента в АС Банка при запросе кода авторизации.Cекунды считается с 1970 года можно тут перевести https://www.unixtimestamp.com/
8nonceЗначение переменной, сгенерированная ресурсной системой/внешней АС для предотвращения атак повторения при запросе кода авторизации.Партнер  получив ID_Token  должен проверить значение параметра nonce, что полученное значение nonce равно значению параметра nonce, отправленного в запросе на аутентификацию. Если значения не совпадают, то Партнер должен завершить сценарий без авторизации клиента на своем ресурсе.
8acrУровень доверия аутентификации позволяет оценить надежность и безопасность входа. Значение уровня указывается в конце строки формата urn:sber:id:loa100.Чем больше значение параметра, тем выше уровень доверия к аутентификации, проведенной на стороне Сбер ID. Рекомендуется учитывать данные уровни в процессе авторизации на стороне партнера.

Обработка параметра sub и alt_sub

Назначение

Параметр alt_sub используется для идентификации пользователя в случаях изменения его основного идентификатора (sub). Это позволяет связать текущую сессию с существующей учетной записью клиента, обеспечивая бесшовный пользовательский опыт и безопасность.

Сценарий использования

Ситуация возникает, когда клиент объединяет свои учетные данные в МП СБОЛ, либо происходит корректировка данных на уровне банка. В этом случае:

  1. В поле sub может поступить новый идентификатор.

  2. В поле alt_sub передается старый идентификатор sub, с которым пользователь ранее взаимодействовал с сервисом.

Использование не только sub, но и alt_sub гарантирует, что будут учтены все возможные уникальные идентификаторы пользователя.

Рекомендации по реализации метчинга

  1. Партнер Сбер ID ищет у себя учетную запись (по sub либо alt_sub из ID Token), к которой привязан Сбер ID

  2. Если такая учетная запись найдена по sub либо alt_sub, Партнер Сбер ID аутентифицирует Клиента

  3. Если такой учетной записи не найдено, то Партнер Сбер ID может осуществить поиск учетной записи пользователя по данным, полученным через Сбер ID (например, адрес электронной почты, номер телефона и т.д.):

    • Если такая учетная запись найдена (по дополнительным данным), Партнер предлагает пользователю привязать ее к уже существующей. Пользователь может пропустить этот шаг. В случае, если шаг пропускается, то Партнер аутентифицирует пользователя.

    • Если такой учетной записи не найдено, Партнер аутентифицирует пользователя заводя новый профиль у себя

Дополнительная обработка alt_sub гарантирует, что пользователь не потеряет доступ к своим данным, включая:

  • Историю покупок и транзакций;

  • Персональные данные и настройки;

  • Медиа-библиотеки (плейлисты, избранное);

  • Историю активности на вашей платформе и пр.

Пример окна с предложением привязать учетную запись

Обновление access token по refresh token

Параметры запроса

Пример запроса на обновление access token по refresh token:

POST 'https://oauth-ift.sber.ru/ru/prod/tokens/v2/oidc' \
--header 'accept: application/json' \
--header 'rquid: 012345678901234567890123456789FF' \
--header 'content-Type: application/x-www-form-urlencoded' \
--data-urlencode 'grant_type=refresh_token' \
--data-urlencode 'refresh_token=06728b1a-1ecb-4dd6-b462-9e11c24f9efd' \
--data-urlencode 'client_id=5e7ee80a-6724-4078-8ee4-1dd63******' \
--data-urlencode 'client_secret=L4hE5nH3wB5lC6sP0bO7bA6yM5bH5hA3lN3******'

Параметры ответа

В случае успешной обработки запроса Back партнера получает новую пару токенов: access token и refresh token. Ответ типа HTTP 200 OK.

Пример JSON сообщения - ответа в случае успешной обработки запроса:

HTTP/1.1 200 OK rquid: 012345678901234567890123456789FF { "access_token":"f213a511-58d7-4e7c-88b3-a6de380c81da",
"token_type":"bearer", "expires_in":60, "refresh_token": "06728b1a-1ecb-4dd6-b462-9e11c24f9efd" }

Заметили ошибку?

Выделите текст и нажмите Ctrl + Enter, чтобы сообщить нам о ней

Развернуть