Códigos de error de inicio de sesión único (mpbx-oidc, mpbx-auth::sso)

Se generan en las rutas de inicio de sesión OIDC bajo /api/v1/auth/oidc y en la configuración de proveedores bajo /api/v1/sso/providers (W7-INT-02a). Los mensajes nunca contienen un token, un código de autorización, un secreto de cliente ni una dirección de correo. Guía: Inicio de sesión único.

Código	HTTP	Significado	Qué hacer
MPBX-SSO-PROVIDER-UNKNOWN	404	El proveedor no es uno de los proveedores de inicio de sesión habilitados de la empresa a la que pertenece esta dirección web.	Use un proveedor de GET /auth/oidc/providers de la misma dirección.
MPBX-SSO-REDIRECT-NOT-ALLOWED	400	El redirect_uri no está en la lista de permitidos del proveedor. La comparación es exacta (esquema, host, puerto, ruta, consulta); no hay comodines ni prefijos.	Agregue la dirección exacta a los redirect_uris del proveedor, o envíe una que esté en la lista.
MPBX-SSO-STATE-INVALID	401	El intento de inicio de sesión es desconocido, venció (10 minutos), ya se usó, pertenece a otra empresa, o se inició en otro navegador (falta la cookie de vinculación del navegador o no coincide). No se intercambió nada con el proveedor.	Inicie sesión de nuevo desde la página de inicio de sesión.
MPBX-SSO-PROVIDER-UNAVAILABLE	503	No se pudo acceder al documento de descubrimiento, al conjunto de claves o al endpoint de tokens del proveedor; el guardián de salida lo rechazó (solo se permiten direcciones https públicas), indicó otro emisor, o respondió algo que no se puede usar.	Reintente más tarde; un administrador revisa el emisor.
MPBX-SSO-EXCHANGE-FAILED	401	El proveedor rechazó el código de autorización (vencido, ya usado, credenciales de cliente incorrectas, verificador PKCE o URI de redirección incorrectos).	Inicie sesión de nuevo; un administrador revisa el id y el secreto del cliente.
MPBX-SSO-TOKEN-INVALID	401	El ID token no pasó la validación: no tiene una firma asimétrica de una clave del conjunto de claves del proveedor, el emisor, la audiencia o la parte autorizada no coinciden, está vencido o aún no es válido, o el nonce no coincide.	Inicie sesión de nuevo; si persiste, revise el reloj del servidor y las claves del proveedor.
MPBX-SSO-EMAIL-UNVERIFIED	403	El proveedor no afirmó que la dirección de correo esté verificada (email_verified; para Microsoft Entra ID, la notificación opcional xms_edov).	Verifique la dirección en el proveedor; para Entra ID agregue las notificaciones opcionales email y xms_edov al registro de la aplicación.
MPBX-SSO-DOMAIN-NOT-ALLOWED	403	La dirección de correo verificada está fuera de los dominios que la empresa permite para este proveedor.	Inicie sesión con una cuenta de un dominio permitido, o un administrador agrega el dominio.
MPBX-SSO-NO-ACCOUNT	403	Ninguna cuenta activa de esta empresa tiene esta dirección de correo (el inicio de sesión único solo vincula cuentas existentes; nunca crea una), la cuenta vinculada está deshabilitada, o la cuenta tiene un rol de sistema (esas cuentas inician sesión con su contraseña local y su autenticador, la vía de emergencia).	Un administrador crea o habilita la cuenta; las cuentas de sistema usan el formulario de correo y contraseña.
MPBX-SSO-DISCOVERY-FAILED	400	Al guardar un proveedor: no se pudo leer el documento de descubrimiento del emisor a través del guardián de salida, o no indica exactamente este emisor.	Revise la URL del emisor (para Microsoft, el id del directorio, un GUID) y que sea una dirección https pública.
MPBX-SSO-TOO-MANY	409	La empresa ya tiene 10 proveedores de inicio de sesión.	Elimine uno primero.
MPBX-SSO-NOT-FOUND	404	No existe un proveedor de inicio de sesión con este id en esta empresa (el proveedor de otra empresa es invisible).	Revise el id.