Alfa API: POST /oidc/token — Обновление токена доступа

С grant_type=refresh_token возвращает новую пару access_token и refresh_token.

Документация: https://developers.alfabank.ru/products/alfa-api/documentation/articles/alfa-id/articles/acf/articles/token-update/v1/token-update

Параметр	Где	Тип	Обяз.	Описание
Content-Type	header	string	да	application/x-www-form-urlencoded
Accept	header	string	да	application/json
grant_type	body	string	да	refresh_token
refresh_token	body	string	да	Токен обновления
client_id	body	string	да	Идентификатор сервиса
client_secret	body	string	да	Секретный ключ сервиса

Базовые URL

• Боевой хост: https://baas.alfabank.ru
• Тестовый хост: https://sandbox.alfabank.ru
• Авторизация пользователя в боевой среде: https://id.alfabank.ru/oidc/authorize
• Авторизация пользователя в песочнице: https://id-sandbox.alfabank.ru/oidc/authorize
• Продукты и сервисы: https://baas.alfabank.ru/api
• Продукты и сервисы в песочнице: https://sandbox.alfabank.ru/api
• Alfa ID: https://baas.alfabank.ru/oidc
• Alfa ID в песочнице: https://sandbox.alfabank.ru/oidc

Авторизация

Тип: OAuth 2.0

Alfa ID использует OAuth 2.0/OIDC. Для Authorization Code Flow нужны client_id, client_secret, redirect_uri и scopes подключённых продуктов; токен передаётся в заголовке Authorization: Bearer {access_token}. Alfa ID подходит для всех типов интеграций и продуктов.

Для части B2B- и H2H-методов доступен API Key: передавай Authorization: ApiKey {API Key}. Внутренний ключ предназначен для операций по своей компании, внешний — по другой компании; API Key доступен не для всех продуктов, поэтому проверяй описание конкретного метода.

Нюансы

• В песочнице все вызовы Alfa API должны выполняться с mTLS. Тестовый сертификат и закрытый ключ выдаются после подключения; негативные сценарии песочницы могут отличаться от промышленной среды и спецификации метода.
• Код авторизации действует две минуты и используется один раз. access_token действует один час; refresh_token — 180 дней и может быть использован не более двух раз, после обновления сохраняй новую пару токенов.
• При Content-Type: application/x-www-form-urlencoded в cURL специальные символы client_secret нужно экранировать; redirect_uri экранировать не нужно. При отправке через Postman в режиме x-www-form-urlencoded специальное экранирование не требуется.
• API Key действует один год или бессрочно, но автоматически отзывается, если после последнего запроса прошло более 30 дней.
• statementDate допускает даты не ранее пяти лет от первого дня текущего года. Одна страница выписки содержит не больше 1000 операций.
• externalId платёжного поручения назначает партнёр. Документация требует UUID; в песочнице для каждого нового теста генерируй уникальное значение.
• Платёж без digestSignatures сохраняется в начальном статусе и ожидает подписания в Альфа-Бизнес. Для платёжного поручения по собственному счёту можно передать одну или две подписи.
• Партнёрский обработчик вебхука рекомендуется завершать не более чем за 300 мс. Если приходит 4xx/5xx, ответ не получен за пять секунд или соединение не установлено, банк повторяет доставку через 30 секунд, 5 и 30 минут, 1, 3, 6, 12, 24, 48 и 72 часа.
• Дубли вебхуков по выписке нужно определять по transactionId, по входящим платежам СБП — по nspkTransactionId; на дубликат всё равно возвращай 2xx.
• Старые версии endpoint’ов поддерживаются от двух до шести месяцев. Переход на новую версию нужно предварительно тестировать в песочнице.
• Сохраняй заголовок ответа x-traceid: при обращении в поддержку банк просит передать X-TraceId вместе с датой, временем, URI, заголовками и телом запроса.

Сценарии с этим методом

• Получить токен Alfa ID

---

Если этого недостаточно — официальная документация: https://developers.alfabank.ru/products/alfa-api/documentation/articles/alfa-id/articles/acf/articles/token-update/v1/token-update Вся интеграция одним документом: https://mcp-everything.ru/integrations/alfa-bank-api.md