Восстановление пароля

Забытый пароль сбрасывается по SMS-коду на номер телефона. После сброса пользователь выходит со всех устройств.

1. POST /v1/auth/password/forgot с номером телефона — API отправляет SMS-код и возвращает challengeId.

2. POST /v1/auth/password/reset с challengeId, кодом и новым паролем. Ответ — 204.

3. Все сессии пользователя завершены. Выполните вход с новым паролем.

Запрос кода

POST/v1/auth/password/forgot

curl -X POST https://api.rekassa.uz/v1/auth/password/forgot \
  -H 'Content-Type: application/json' \
  -H 'Accept-Language: ru' \
  -d '{"phone": "+998901234567"}'

{
  "challengeId": "e4f7a2b9-0c3d-4e61-8a5b-9d2c1f7e3a06",
  "expiresIn": 300,
  "resendIn": 60
}

Заметка

Ответ одинаков для любого номера. Если номер не зарегистрирован, не подтверждён или заблокирован, SMS не отправляется, а challengeId нельзя подтвердить. Так метод нельзя использовать для проверки, есть ли номер в системе.

Не пришёл код — запросите новый через POST /v1/auth/resend-code.

Новый пароль

POST/v1/auth/password/reset

Поле	Тип	Описание
challengeId	string (UUID)	из ответа /password/forgot
code	string	ровно 6 цифр из SMS
password	string	новый пароль, 8–128 символов
passwordConfirmation	string	должно совпадать с password

curl

curl -X POST https://api.rekassa.uz/v1/auth/password/reset \
  -H 'Content-Type: application/json' \
  -d '{
    "challengeId": "e4f7a2b9-0c3d-4e61-8a5b-9d2c1f7e3a06",
    "code": "915027",
    "password": "new-horse-battery-7",
    "passwordConfirmation": "new-horse-battery-7"
  }'

JavaScript

const response = await fetch('https://api.rekassa.uz/v1/auth/password/reset', {
  method: 'POST',
  headers: { 'Content-Type': 'application/json' },
  body: JSON.stringify({
    challengeId,
    code: '915027',
    password: 'new-horse-battery-7',
    passwordConfirmation: 'new-horse-battery-7',
  }),
})
if (response.status === 204) {
  // Пароль изменён, все сессии завершены — ведите пользователя на вход.
}

Ответ — 204 No Content. Токены не выдаются: пользователь входит заново.

Выход на всех устройствах

Сброс пароля завершает все сессии пользователя, включая ту, с которой он сбрасывал пароль. Refresh-токены перестают работать, а уже выданные access-токены отклоняются со статусом 401.

Статус	Код	Когда
400	validation_failed	пароль короче 8 символов, пароли не совпадают, код не из 6 цифр
401	invalid_code	код неверный, истёк или уже использован
403	user_blocked	учётную запись заблокировали после отправки кода
429	code_attempts_exceeded	код введён неверно 5 раз

Сброс пароля не меняет способ входа. Если пользователь входит по SMS, пароль сохранится, но для входа по нему нужно переключить способ в профиле — см. Профиль и сессии.