De acuerdo con las especificaciones de RFC:
invalid_grant
La autorización proporcionada (por ejemplo, código de autorización,
credenciales del dueño del recurso) or refresh_token es inválido,
ha expirado, no coincide con la redirection_URI utilizada en la
solicitud de autorización, o fue emitida para otro cliente.
Solución
¿Aún tiene problemas?
- Confirme que está utilizando el código o refresh_token más reciente;
- Confirme que los parámetros son correctos (
redirect_uri,refresh_token,code) y que no hay espacios entre los caracteres; - Confirme que no hay distintos desarrolladores realizando pruebas utilizando la misma cuenta, esto haría que se creen múltiples tokens, que se invalidarían mutuamente;
- Confirme que no ha pasado la ventana de validez del refresh_token (que es de 30 días). Una vez que el usuario da su consentimiento, como sabemos, ese token dura 5 minutes, y se puede actualizar utilizando el refresh token. Este token dura 30 días. Por lo tanto, incluso si el período total de consentimiento puede ser válido por 90 días, debe ser actualizado dentro de un período de 30 días de uso para garantizar el total de su vida útil.
Más
Si necesitas más información...
Revisa nuestra lista de descripciones de errores de autenticación en nuestra Documentación.
Lea el post en nuestro blog sobre Refresh Tokens (en inglés) aquí.