Autoriza una cuenta con PKCE

1. Genera un estado criptográficamente aleatorio y un nuevo verificador PKCE para cada autorización. Calcula el desafío S256.
2. Redirige al endpoint de autorización con client_id, redirect_uri exacto, response_type=code, scope, state, code_challenge y code_challenge_method=S256.
3. El cliente inicia sesión, selecciona su cuenta personal u organizacional, revisa los alcances y acepta cualquier plan de facturación.
4. Verifica el estado en tu callback. Intercambia el código una vez, con el URI de redirección original y el code_verifier.
5. Almacena los tokens de forma segura. Usa el sujeto asociado al cliente devuelto como identificador del cliente.

curl --fail-with-body 'https://auth.shareai.now/oauth/token'   --data-urlencode 'grant_type=authorization_code'   --data-urlencode "client_id=$SHAREAI_CLIENT_ID"   --data-urlencode "code=$AUTHORIZATION_CODE"   --data-urlencode 'redirect_uri=https://your-app.example/callback'   --data-urlencode "code_verifier=$PKCE_VERIFIER"

Este ejemplo es para un cliente público. No añadas un secreto ni credenciales HTTP Basic. Un cliente confidencial se autentica utilizando sus credenciales de cliente del lado del servidor además de PKCE. Nunca incluyas un secreto confidencial en distribuciones de navegador, escritorio, móvil o autohospedadas.

Descubrimiento: https://auth.shareai.now/.well-known/openid-configuration. Usa los endpoints y claves de firma anunciados. Rechaza discrepancias de estado, emisores inesperados y audiencias o firmas de ID-token no válidas.

Estándares: Mejores prácticas de seguridad OAuth and PKCE. Tokens de actualización.