Erro de 2FA no token de admin da API: use o endpoint do provedor

Por que o endpoint antigo falha

Se você abrir o etc/webapi.xml do Magento_TwoFactorAuth, a primeira rota declarada é justamente /V1/integration/admin/token, apontando para uma interface própria do módulo. A implementação valida usuário e senha, descarta o token que sairia dali e lança exceção.

Como é uma LocalizedException, o processador de erro da Web API responde 400 Bad Request com a mensagem e mais um bloco parameters. E é aí que está o presente: o campo active_providers vem preenchido com os provedores que aquele usuário já ativou. O próprio erro te diz para onde ir.

Existem outras duas mensagens possíveis no mesmo endpoint, e vale saber diferenciar:

• Please ask an administrator with sufficient access to configure 2FA first — nenhum provedor de 2FA foi habilitado na loja.
• You are required to configure personal Two-Factor Authorization in order to login. Please check your email. — o provedor existe, mas esse usuário ainda não configurou o dele, e o Magento acabou de mandar o e-mail de configuração.

O endpoint certo, por provedor

Cada provedor tem a sua rota, todas com anonymous como recurso, ou seja, sem token prévio:

O do Google, que é o mais usado, recebe três campos: username, password e otp.

curl -sS -X POST "https://sualoja.com.br/rest/V1/tfa/provider/google/authenticate" \
  -H "Content-Type: application/json" \
  -d '{"username":"api.erp","password":"senha","otp":"123456"}'

A resposta é o token entre aspas, do mesmo jeito que o endpoint antigo devolvia. Daí em diante nada muda: Authorization: Bearer <token> nas chamadas seguintes.

Se o usuário ainda não ativou o Google Authenticator, o par /V1/tfa/provider/google/configure e /V1/tfa/provider/google/activate faz a configuração inicial pela API. Eles trabalham com um tfaToken, não com usuário e senha.

OTP não serve para integração

Resolvido o erro, vem a pergunta que interessa: como é que o ERP digita um código de seis dígitos que muda a cada 30 segundos?

Não digita. Dá pra gerar o TOTP dentro do middleware a partir do segredo compartilhado, e funciona, mas você acabou de guardar o segundo fator no mesmo lugar que guarda a senha — o 2FA virou enfeite. Eu não faço isso em cliente.

O caminho certo é não usar token de admin nessa integração. Crie uma integração em System > Extensions > Integrations, escolha os recursos de API que ela pode acessar, ative e guarde o Access Token. O Magento_TwoFactorAuth não toca nesse fluxo: ele guarda a criação de token de usuário admin, não o token da integração.

Além de passar pelo 2FA, você ganha três coisas: permissão granular por recurso em vez de tudo que o usuário pode, token que não expira em 4 horas — o de admin morre com o valor de oauth/access_token_lifetime/admin, que vem 4 —, e um botão de revogar quando o fornecedor sai do projeto.

Não desligue o módulo

A busca no Google devolve, em primeiro lugar, o module:disable Magento_TwoFactorAuth. Funciona no sentido de que o erro some. Também some a única barreira entre uma senha vazada e o painel administrativo da loja.

Painel de Magento é alvo permanente de força bruta e de credencial reaproveitada de vazamento. Desligar o 2FA de uma loja em produção pra resolver um erro de integração é trocar um problema de meia hora por um risco que dura anos.

Se você desligou pra testar e esqueceu de religar, confira:

php bin/magento module:status Magento_TwoFactorAuth

E, já que está aí, confira também se aquele usuário de API que você criou pra integração continua existindo com senha antiga. Ele não precisa mais existir depois que a integração passa a usar token de integração.