Flujo
Authorization Code + PKCE
Es el único flujo disponible. PKCE S256 es obligatorio para todos los clientes, incluidos los públicos.
FEXMAX · identidad para desarrolladores
Inicio de sesión OIDC, con límites claros.
FEX-LOGIN permite que una aplicación solicite identidad mediante Authorization Code + PKCE. El usuario consiente en FEXMAX; la app recibe sólo lo que pidió y fue autorizado.
URL canónica: https://developer.fexmax.app/login
No es una promesa de seguridad absoluta. La integración debe validar estados, tokens, firmas, audiencias, expiración y nonce en el servidor o con una librería mantenida.
Consentimiento
El usuario decide
La pantalla muestra la aplicación, el callback y los scopes. Las apps nunca reciben contraseñas.
Tokens
Vidas acotadas
Los códigos duran 60 segundos. Access tokens e ID tokens duran 300 segundos. UserInfo ayuda a comprobar revocación.
Perfil disponible
Un contrato pequeño, explícito
Issuerhttps://ai.fexmax.app/fexmax-login
Scopesopenid, email
ClientesPúblicos, sin secreto
Redirect URIHTTPS exacta, pre-registrada
Identificadorsub pairwise por host
RegistroConsola FEXMAX; aprobación pendiente
Los scopes profile, offline_access, password, implicit, refresh, client_credentials y device no forman parte de este perfil.