# flow2act · Anmeldung abschließen

Schließe den Passwortwechsel beim Erstlogin oder MFA über die API ab.

Übernimm challengeToken aus der letzten challenge_required-Antwort; er läuft nach 180 Sekunden ab. Bei NEW_PASSWORD_REQUIRED sende newPassword (mindestens 14 Zeichen, Groß-/Kleinschreibung, Zahl, Sonderzeichen, keine Leerzeichen). Bei SMS_MFA, SOFTWARE_TOKEN_MFA oder EMAIL_OTP sende stattdessen code. Sende nie beides. Bei einer weiteren Challenge setzt du den Ablauf fort. Tokens werden erst nach allen erforderlichen Schritten ausgegeben.

## POST /v1/auth/challenge

Authentication: public account endpoint; no token required
Required user permissions: Keine Kontorolle erforderlich. The API checks current membership, roles, key scopes and resource permissions on every request. Documentation visibility grants no access.

## Input parameters
- challengeToken (string, required): min length 1 · max length 12000
- newPassword (string, optional): min length 1 · max length 256
- code (string, optional): 

## Request example (replace example IDs)

```sh
curl -X POST "https://api.flow2act.com/v1/auth/challenge" \
  -H "content-type: application/json" \
  --data-raw '{
  "challengeToken": "YOUR_CHALLENGE_TOKEN",
  "newPassword": "YOUR_NEW_PASSWORD"
}'
```

## Response excerpt

```json
{
  "status": "authenticated",
  "tokenType": "Bearer",
  "accessToken": "YOUR_FLOW2ACT_ACCESS_TOKEN",
  "expiresIn": 3600,
  "expiresAt": "2026-10-17T12:00:00.000Z"
}
```

Source: /docs/auth-challenge
Full schemas: /docs/openapi.json