Reprise de session
La reprise restaure une session d’origine encore active après l’effacement local des identifiants, par exemple au retour de l’application de l’émetteur. Elle exige une nouvelle preuve signée par l’appareil et le code Futa actuel. Futa ne demande jamais le code de l’émetteur. Le champ facultatif resume_session_id désigne la session d’origine ; le défi doit avoir le but RESUME_SESSION et reprendre exactement cette référence avant signature.
L’API payeur ne tourne que dans le bac à sable local : le bac à sable hébergé ne la sert pas encore.
La préparation ne révèle pas l’existence de la session cible. Après vérification du code et de la preuve, le serveur refuse une session inconnue, appartenant à un autre appareil, révoquée ou expirée. Les limites de tentatives et le verrouillage du code sont communs au déverrouillage normal. Une réponse réussie conserve la session, son autorisation, son inactivité et son échéance absolue ; seul le nonce DPoP est nouveau. Elle ne déclenche aucun paiement et ne prolonge aucun consentement de transfert.
En cas de réponse perdue, réessayez avec la même clé de finalisation et la même signature. Une autre clé ne peut pas réutiliser un défi déjà consommé. Ne remplacez jamais automatiquement le transfert. Le verrouillage de l’application continue d’effacer les identifiants privés ; seules les références nécessaires à une reprise explicite peuvent être conservées. Cette fonction synthétique est désactivée par défaut. Les intégrations réelles et les validations de production restent distinctes.