Authentification

Clés d’API

Envoyez la clé dans Authorization: Bearer <clé>. Une clé Utilisateur ne peut jamais dépasser les droits de son créateur. Une clé Machine suit les droits accordés par les administrateurs de l’espace.

Conservez la clé dans un gestionnaire de secrets. Ne l’intégrez ni au code source, ni aux journaux, ni à une application exécutée dans le navigateur.

OAuth

Une intégration utilisée par plusieurs personnes doit employer OAuth 2.1 avec Authorization Code et PKCE. Ouvrez /oauth/autoriser sur l’origine web avec client_id, redirect_uri, response_type=code, scope, state, code_challenge et code_challenge_method=S256. Vérifiez impérativement state au retour.

Échangez ensuite le code par POST /oauth/token sur l’origine API, avec grant_type=authorization_code, le code_verifier, le code et l’URI de redirection exacte. Un client confidentiel s’authentifie aussi avec son secret ; une application publique ne doit jamais embarquer de secret.

Renouvelez un accès avec grant_type=refresh_token. La rotation invalide le jeton de renouvellement utilisé : conservez atomiquement le nouveau couple. Révoquez un jeton avec POST /oauth/revoke. Demandez seulement les droits nécessaires et traitez invalid_grant en relançant l’autorisation.