> ## Documentation Index > Fetch the complete documentation index at: https://docs.didit.me/llms.txt > Use this file to discover all available pages before exploring further. # Token endpoint Didit : échange de code et renouvellement > Didit : POST /token/ échange un code d'autorisation PKCE ou fait tourner un refresh token. Réutiliser un refresh token révoque la session. > [!WARNING] > > L'authentification est une nouveauté. Ces endpoints sont servis par l'émetteur de votre application, par exemple `https://.auth.didit.me`, et n'acceptent jamais votre clé API Didit. Un token d'actualisation n'est utilisable qu'une seule fois. Renvoyer un token d'actualisation déjà utilisé révoque l'intégralité de la session. Exécutez donc une seule actualisation à la fois pour une session, et remplacez les trois tokens ensemble. Voir [Jetons d'actualisation](https://docs.didit.me/fr/authentication/tokens-and-jwks.md#rafraîchir-les-jetons). ## OpenAPI ````yaml fr/openapi-authentication.json POST /token/ openapi: 3.0.3 info: title: Didit Authentication API version: 1.0.0 description: >- Les endpoints côté serveur de Didit Authentication, le produit de connexion pour les utilisateurs finaux de votre application. Authentication est **nouveau** et arrive en production dans la version 2026-11-01. ## URL de base Chaque application constitue son propre émetteur OpenID Connect, et chaque endpoint ci-dessous est servi à la racine de cet émetteur : - `https://.auth.didit.me` pour une application en production, ou `https://.sandbox.auth.didit.me` pour une application en sandbox. - Votre propre domaine personnalisé, une fois actif. Il remplace alors l'hôte par défaut en tant qu'émetteur : les nouveaux tokens l'indiquent dans `iss`, la découverte pointe vers lui et la clé publiable change. Les tokens d'accès émis sous l'hôte par défaut échouent sur `/session/`, `/step-up/` et `/monitoring-token/` tant qu'ils ne sont pas rafraîchis. La production et le sandbox sont des applications distinctes ; ce sont donc des émetteurs distincts disposant de clés distinctes. La clé publiable est `pk_live_` (production) ou `pk_test_` (sandbox), suivie de l'encodage base64url sans remplissage de l'émetteur, sans barre oblique finale : décodez-la pour retrouver l'émetteur. Il s'agit d'un identifiant public, pas d'un identifiant d'authentification. Les mêmes endpoints JSON sont également servis sous `https://apx.didit.me/auth/v2/authentication/{application_id}/`. Les tokens indiquent toujours l'émetteur ci-dessus, quelle que soit l'adresse qui les a émis. ## Identifiants Ces endpoints n'acceptent jamais votre clé API Didit ni un token de console. - La découverte, le JWKS et `POST /token/` ne prennent aucun identifiant. Les clients sont publics : il n'y a pas de secret client, et un code d'autorisation est lié à son vérificateur PKCE (`S256`). `client_id` est l'identifiant de votre application. - `/session/`, `/step-up/` et `/monitoring-token/` prennent le token d'accès de la personne : `Authorization: Bearer `. Chaque appel réussi compte comme une activité sur la session, ce qui réinitialise le délai d'inactivité de la session. ## Corps de requête Chaque endpoint acceptant un corps prend en charge les corps au format JSON, au format formulaire et multipart. Ce document liste le format JSON, ainsi que le format encodé en formulaire pour `POST /token/` tel que les clients OAuth l'envoient. Un champ que l'endpoint n'accepte pas renvoie `400 {"": "unknown_field"}`. ## Tokens - **Token d'accès** : un JWT ES256 avec l'en-tête `typ: at+jwt`, valide pendant au maximum 5 minutes et jamais plus longtemps que sa session. Revendications : `AccessTokenClaims`. - **Token d'identification** : un JWT ES256 avec l'en-tête `typ: JWT`. Revendications : `IDTokenClaims`. Il n'est jamais accepté en tant que token d'accès. - **Token d'actualisation** : une chaîne aléatoire renouvelée à chaque utilisation. Envoyer à nouveau un token d'actualisation déjà utilisé révoque la session. Vérifiez un token à l'aide des clés provenant de `GET /.well-known/jwks.json` : l'algorithme doit être `ES256`, `typ` doit correspondre au type de token, `iss` doit être égal à l'émetteur configuré et `aud` à l'identifiant de votre application. La vérification hors ligne ne détecte une session révoquée qu'une fois son token d'accès expiré ; `GET /session/` constitue la vérification instantanée. ## Erreurs | Corps | Quand | | --- | --- | | `{"error": ""}` | Erreurs de `POST /token/`, toutes avec le statut `400`, au format de corps de la [section 5.2 de la RFC 6749](https://www.rfc-editor.org/rfc/rfc6749#section-5.2) : `invalid_grant`, `invalid_client` et le `mfa_required` de Didit. Erreurs de service : `temporarily_unavailable`, `monitoring_unavailable`, `monitoring_disabled`. | | `{"": [""]}` ou `{"": ""}` | La validation d'un champ de la requête a échoué. `non_field_errors` indique une règle s'appliquant à plusieurs champs, et `unknown_field` un champ que l'endpoint n'accepte pas. | | `{"detail": ""}` | `401` (`invalid_token`), `403` (`origin_not_allowed`), `404` (application inconnue ou step-up inconnu) et `429` (limite de débit). Également `400` pour un corps impossible à analyser (`JSON parse error - ...`), `405` pour une méthode que l'endpoint ne prend pas en charge et `415` pour un `Content-Type` non pris en charge. | Une réponse `401` comporte également `WWW-Authenticate: Bearer`, et une réponse `429` comporte `Retry-After` en secondes. Deux refus ne sont pas au format JSON. Une adresse qui n'est pas un émetteur est refusée avant d'atteindre ces endpoints, par exemple avec une erreur `404` vide pour un nom `*.auth.didit.me` non utilisé. Un `step_up_id` qui n'est pas un UUID renvoie une page `404`. ## Limites de débit Une requête doit franchir deux couches. **Limites par endpoint**, comptabilisées par adresse IP cliente, par application et par endpoint : - Découverte et JWKS : 1 200 requêtes par minute et 12 000 par heure. - Tous les autres endpoints : 30 requêtes par minute et 300 par heure. `GET` et `DELETE /session/` partagent le même décompte. En cas de dépassement de la limite : `429 {"detail": "Too many requests from this IP address. Please wait before trying again. Expected available in 60 seconds."}`, ou `3600 seconds` pour la limite horaire. **Protection contre les bots**, sur chaque `POST` et `DELETE`. Ses compartiments sont partagés par toutes les requêtes `POST` et `DELETE` de l'application, y compris les étapes de connexion hébergées, et se remplissent en continu : - 60 requêtes par minute par adresse IP cliente. - 30 requêtes par minute par appareil, pour les requêtes qui identifient leur appareil, comme le font les SDK natifs et de navigateur. - 3 000 requêtes par minute pour l'ensemble de l'application, toutes adresses IP confondues. Les rafraîchissements de token (`POST /token/` avec `grant_type=refresh_token`) utilisent plutôt leur propre compartiment : 6 000 par minute pour l'ensemble de l'application. En cas de dépassement d'un compartiment : `429 {"detail": "rate_limited Expected available in N seconds."}` (`1 second.` lorsque N vaut 1). Le compartiment par IP s'étend sur l'ensemble des endpoints ; ainsi, une adresse unique qui combine des appels de token, de step-up et de déconnexion peut le vider avant même d'atteindre la moindre limite par endpoint. Le compartiment applicatif prend en compte chaque client de l'application, y compris les navigateurs. Les deux couches répondent avant l'exécution de l'endpoint : une requête ayant reçu une réponse `429` n'a donc pas été exécutée. Réessayez-la après le délai indiqué par `Retry-After`, y compris pour un rafraîchissement. ## Requêtes de navigateur Une requête comportant un en-tête `Origin` doit provenir de l'une des origines propres à l'application ou de ses origines autorisées, sous peine de recevoir une erreur `403 origin_not_allowed`. Les requêtes de serveur à serveur n'envoient aucun en-tête `Origin`. ## Non traité ici Ces routes desservent les pages hébergées, les SDK natifs et de navigateur, ainsi que les agents IA. Elles ne font pas partie du contrat serveur, et les SDK serveur ne les appellent pas : - Étapes de connexion : `POST /authorize/`, `POST /password/`, `/email/*`, `/phone/*`, `/password-reset/*`, `/passkeys/*`, `/mfa/*`, `/social/*` et `/protection/complete/`. - Pages hébergées et rappels : `/sign-in`, `/magic`, `/invite`, `/reset`, `/verify/`, `/sso/*`, `/wallet/callback/`, `/logo/` et les fichiers d'association d'applications natives sous `/.well-known/`. - Accès pour les agents : `/agents/*` et `/grants/`, y compris `GET /agents/session/`, la vérification en direct du token d'accès d'un agent IA. L'accès des agents ne fait pas partie de cette version du contrat. - L'API de gestion de la console pour Authentication, qui requiert des sessions de console. Les événements d'Authentication ne sont pas encore transmis sous forme de webhooks ; ce document ne définit donc aucun webhook. servers: - url: https://{issuer} description: 'L''émetteur de votre application : son origine de connexion.' variables: issuer: default: your-app.auth.didit.me description: >- L'hôte de l'émetteur : `.auth.didit.me` (production), `.sandbox.auth.didit.me` (sandbox) ou votre domaine personnalisé actif. security: [] tags: - name: Issuer description: Clés de découverte et de signature, pour vérifier les tokens. - name: Tokens description: Les autorisations par code d'autorisation et de renouvellement. - name: Sessions description: Vérifier et terminer la session associée à un token d'accès. - name: Step-ups description: Vérification avant une action sensible. - name: Monitoring description: >- Informations d'authentification de l'appareil pour les événements de surveillance des transactions. paths: /token/: post: tags: - Tokens summary: Échanger un code ou actualiser des tokens description: "L'endpoint de token, pour les deux types d'autorisation.\n\n- `authorization_code` échange le code reçu par votre `redirect_uri` contre un token d'accès, d'identité et de rafraîchissement. Le code fonctionne une seule fois, pendant 60 secondes, avec le vérificateur PKCE et le `redirect_uri` exact de sa connexion. Lorsque l'application autorise une seule session par personne, l'échange met fin aux autres sessions de la personne.\n- `refresh_token` renvoie un nouveau token d'accès, d'identité et de rafraîchissement, et le token de rafraîchissement envoyé cesse de fonctionner. **Renvoyer un token de rafraîchissement déjà utilisé révoque la session** et renvoie `invalid_grant`\_; effectuez donc un seul rafraîchissement à la fois pour une session et remplacez les trois tokens ensemble. Après l'échec d'un rafraîchissement avec `400`, ou en l'absence de réponse, recommencez la connexion plutôt que de réessayer\_: une nouvelle tentative après un rafraîchissement réussi constitue une réutilisation. Une réponse `429` est renvoyée avant l'exécution du rafraîchissement, il est donc sans danger de réessayer après `Retry-After`. Une réponse `503` signifie que le rafraîchissement n'a pas eu lieu et que le token de rafraîchissement fonctionne toujours\_: réessayez avec un backoff.\n\nLe corps peut être au format JSON ou encodé sous forme de formulaire." operationId: authentication_token requestBody: required: true content: application/json: schema: $ref: '#/components/schemas/TokenRequest' examples: AuthorizationCode: summary: Échanger le code d'autorisation value: grant_type: authorization_code code: Vb0bVt4CLlr8ZL0kE5mAxv8gS6R0rW3hYqC1pN7dJ2s code_verifier: dBjftJeZ4CVP-mB92K27uhbUJU1p1r_wW1gFWFOEjXk redirect_uri: https://app.example.com/auth/callback RefreshToken: summary: Actualiser les tokens value: grant_type: refresh_token refresh_token: >- N4yZTl6y24YKYq77X_SOrBn1q2Lit81WBQMOay7dq_IVfTnxyY8ZGcJk-6-fcmWW application/x-www-form-urlencoded: schema: $ref: '#/components/schemas/TokenRequest' responses: '200': description: Nouveaux tokens pour la session. headers: Cache-Control: description: 'Toujours `no-store` : ne jamais mettre cette réponse en cache.' schema: type: string example: no-store Pragma: description: Toujours `no-cache`. schema: type: string example: no-cache content: application/json: schema: $ref: '#/components/schemas/TokenResponse' examples: Tokens: summary: Tokens pour une nouvelle session value: access_token: >- eyJhbGciOiJFUzI1NiIsImtpZCI6ImtfOHNKMmRRdlgwbkxyNVRmWWIzSGtQdyIsInR5cCI6ImF0K2p3dCJ9.eyJpc3MiOiJodHRwczovL3lvdXItYXBwLmF1dGguZGlkaXQubWUiLCJhdWQiOiI3YjBhNmMyZS0zZjQxLTRjOWEtOGQ1NS0xZTJmM2E0YjVjNmQiLCJzdWIiOiIxYzlkOGI4OC0xYmZmLTQzZDEtYWQ3YS04OGIyYmMwMDI0ZTkiLCJzaWQiOiJjOWFiZjZjYy0yZDY0LTRiZjItYjMxZS1hNGQwOWEwNzBhYjEiLCJqdGkiOiJSZ3F1NzE3OWUtbGhKMGJ2VmVELVlnIiwiaWF0IjoxNzkyMjMzNjc0LCJleHAiOjE3OTIyMzM5NzQsInZlbmRvcl9kYXRhIjoidXNlci00MiIsIm9yZyI6bnVsbCwidmVyaWZpZWQiOnt9LCJhbXIiOlsicGFzc3dvcmQiXSwiYWN0IjpudWxsLCJjbGllbnRfaWQiOiI3YjBhNmMyZS0zZjQxLTRjOWEtOGQ1NS0xZTJmM2E0YjVjNmQifQ.AxrqN8Pm-Op-3OayZk8HcvlFQZhozRiOvQ0SgQsGgrz4UNeJlUEeSlq9B8WcYUuM8naRaY5kQt_TUofnsYcyYQ id_token: >- eyJhbGciOiJFUzI1NiIsImtpZCI6ImtfOHNKMmRRdlgwbkxyNVRmWWIzSGtQdyIsInR5cCI6IkpXVCJ9.eyJpc3MiOiJodHRwczovL3lvdXItYXBwLmF1dGguZGlkaXQubWUiLCJhdWQiOiI3YjBhNmMyZS0zZjQxLTRjOWEtOGQ1NS0xZTJmM2E0YjVjNmQiLCJzdWIiOiIxYzlkOGI4OC0xYmZmLTQzZDEtYWQ3YS04OGIyYmMwMDI0ZTkiLCJzaWQiOiJjOWFiZjZjYy0yZDY0LTRiZjItYjMxZS1hNGQwOWEwNzBhYjEiLCJqdGkiOiJNTHRPNHM4SHItQnJrcDd2NTlPV0Z3IiwiaWF0IjoxNzkyMjMzNjc0LCJleHAiOjE3OTIyMzM5NzQsInZlbmRvcl9kYXRhIjoidXNlci00MiIsIm9yZyI6bnVsbCwidmVyaWZpZWQiOnt9LCJhbXIiOlsicGFzc3dvcmQiXSwiYWN0IjpudWxsLCJhdXRoX3RpbWUiOjE3OTIyMzM2NzQsImVtYWlsX3ZlcmlmaWVkIjp0cnVlLCJlbWFpbCI6InBlcnNvbkBleGFtcGxlLmNvbSIsIm5vbmNlIjoibi0wUzZfV3pBMk1qIn0.avhfDFp_aUV5_1ssYzwDcIA7H6Waf19P0bn5GCg25FhLIZBGIlwc8HiUPGj1j26r21OkP4FQnS_jM1Ho3dHtKQ refresh_token: >- N4yZTl6y24YKYq77X_SOrBn1q2Lit81WBQMOay7dq_IVfTnxyY8ZGcJk-6-fcmWW token_type: Bearer expires_in: 299 session_id: c9abf6cc-2d64-4bf2-b31e-a4d09a070ab1 '400': description: >- L'octroi a échoué. `invalid_grant` : le code ou le refresh token est inconnu, utilisé ou expiré ; le vérificateur PKCE ou `redirect_uri` ne correspond pas, ou le `redirect_uri` n'est plus enregistré ; la personne a été bloquée ou son e-mail n'est plus vérifié ; la session a pris fin ou ne respecte plus votre politique MFA ; ou, pour un code, vous avez désactivé la méthode de connexion dont il provient. Désactiver une méthode n'arrête pas le rafraîchissement des sessions qu'elle a déjà démarrées. `invalid_client` : `client_id` n'est pas l'ID de votre application. `mfa_required` : la connexion n'a pas respecté votre politique MFA. Les erreurs de champ indiquent un champ manquant ou invalide. Un corps impossible à analyser reçoit un message `detail`. headers: Cache-Control: description: 'Toujours `no-store` : ne jamais mettre cette réponse en cache.' schema: type: string example: no-store Pragma: description: Toujours `no-cache`. schema: type: string example: no-cache content: application/json: schema: anyOf: - $ref: '#/components/schemas/OAuthError' - $ref: '#/components/schemas/FieldErrors' - $ref: '#/components/schemas/Detail' examples: InvalidGrant: summary: Code ou token de rafraîchissement rejeté value: error: invalid_grant InvalidClient: summary: client_id incorrect value: error: invalid_client MfaRequired: summary: Politique MFA non respectée value: error: mfa_required MissingFields: summary: Une autorisation sans ses champs obligatoires value: non_field_errors: - invalid_request UnknownGrant: summary: grant_type non pris en charge value: grant_type: - '"password" is not a valid choice.' UnknownField: summary: Un champ que l'endpoint n'accepte pas value: foo: unknown_field MalformedBody: summary: Un corps JSON qui ne peut pas être analysé value: detail: >- JSON parse error - Expecting property name enclosed in double quotes: line 1 column 2 (char 1) '403': $ref: '#/components/responses/OriginNotAllowed' '404': $ref: '#/components/responses/ApplicationNotFound' '429': $ref: '#/components/responses/RateLimited' '503': $ref: '#/components/responses/TemporarilyUnavailable' security: - {} components: schemas: TokenRequest: description: >- L'un des deux grants, choisi par `grant_type`. L'endpoint accepte les champs des deux grants et valide chaque champ qu'il reçoit, de sorte qu'un rafraîchissement transmettant également un `code_verifier` malformé reçoit une erreur de champ. Envoyez uniquement les champs correspondant à votre grant ; tout autre champ reçoit `unknown_field`. oneOf: - $ref: '#/components/schemas/AuthorizationCodeGrantRequest' - $ref: '#/components/schemas/RefreshTokenGrantRequest' discriminator: propertyName: grant_type mapping: authorization_code: '#/components/schemas/AuthorizationCodeGrantRequest' refresh_token: '#/components/schemas/RefreshTokenGrantRequest' TokenResponse: type: object description: >- Tokens pour une session. Remplacez les trois ensemble après une actualisation. required: - access_token - id_token - refresh_token - token_type - expires_in - session_id properties: access_token: type: string description: >- JWT ES256, en-tête `typ: at+jwt`. Envoyez-le sous la forme `Authorization: Bearer `. Revendications : `AccessTokenClaims`. example: >- eyJhbGciOiJFUzI1NiIsImtpZCI6ImtfOHNKMmRRdlgwbkxyNVRmWWIzSGtQdyIsInR5cCI6ImF0K2p3dCJ9.eyJpc3MiOiJodHRwczovL3lvdXItYXBwLmF1dGguZGlkaXQubWUiLCJhdWQiOiI3YjBhNmMyZS0zZjQxLTRjOWEtOGQ1NS0xZTJmM2E0YjVjNmQiLCJzdWIiOiIxYzlkOGI4OC0xYmZmLTQzZDEtYWQ3YS04OGIyYmMwMDI0ZTkiLCJzaWQiOiJjOWFiZjZjYy0yZDY0LTRiZjItYjMxZS1hNGQwOWEwNzBhYjEiLCJqdGkiOiJSZ3F1NzE3OWUtbGhKMGJ2VmVELVlnIiwiaWF0IjoxNzkyMjMzNjc0LCJleHAiOjE3OTIyMzM5NzQsInZlbmRvcl9kYXRhIjoidXNlci00MiIsIm9yZyI6bnVsbCwidmVyaWZpZWQiOnt9LCJhbXIiOlsicGFzc3dvcmQiXSwiYWN0IjpudWxsLCJjbGllbnRfaWQiOiI3YjBhNmMyZS0zZjQxLTRjOWEtOGQ1NS0xZTJmM2E0YjVjNmQifQ.AxrqN8Pm-Op-3OayZk8HcvlFQZhozRiOvQ0SgQsGgrz4UNeJlUEeSlq9B8WcYUuM8naRaY5kQt_TUofnsYcyYQ x-didit-jwt: header: '#/components/schemas/AccessTokenHeader' claims: '#/components/schemas/AccessTokenClaims' id_token: type: string description: "JWT ES256, en-tête `typ: JWT`, permettant à votre application d'identifier qui s'est connecté. Ne l'envoyez jamais comme token d'accès. Revendications\_: `IDTokenClaims`." example: >- eyJhbGciOiJFUzI1NiIsImtpZCI6ImtfOHNKMmRRdlgwbkxyNVRmWWIzSGtQdyIsInR5cCI6IkpXVCJ9.eyJpc3MiOiJodHRwczovL3lvdXItYXBwLmF1dGguZGlkaXQubWUiLCJhdWQiOiI3YjBhNmMyZS0zZjQxLTRjOWEtOGQ1NS0xZTJmM2E0YjVjNmQiLCJzdWIiOiIxYzlkOGI4OC0xYmZmLTQzZDEtYWQ3YS04OGIyYmMwMDI0ZTkiLCJzaWQiOiJjOWFiZjZjYy0yZDY0LTRiZjItYjMxZS1hNGQwOWEwNzBhYjEiLCJqdGkiOiJNTHRPNHM4SHItQnJrcDd2NTlPV0Z3IiwiaWF0IjoxNzkyMjMzNjc0LCJleHAiOjE3OTIyMzM5NzQsInZlbmRvcl9kYXRhIjoidXNlci00MiIsIm9yZyI6bnVsbCwidmVyaWZpZWQiOnt9LCJhbXIiOlsicGFzc3dvcmQiXSwiYWN0IjpudWxsLCJhdXRoX3RpbWUiOjE3OTIyMzM2NzQsImVtYWlsX3ZlcmlmaWVkIjp0cnVlLCJlbWFpbCI6InBlcnNvbkBleGFtcGxlLmNvbSIsIm5vbmNlIjoibi0wUzZfV3pBMk1qIn0.avhfDFp_aUV5_1ssYzwDcIA7H6Waf19P0bn5GCg25FhLIZBGIlwc8HiUPGj1j26r21OkP4FQnS_jM1Ho3dHtKQ x-didit-jwt: header: '#/components/schemas/IDTokenHeader' claims: '#/components/schemas/IDTokenClaims' refresh_token: type: string description: >- À usage unique. Valide jusqu'à la fin de la session, chaque rafraîchissement en renvoie un nouveau. example: N4yZTl6y24YKYq77X_SOrBn1q2Lit81WBQMOay7dq_IVfTnxyY8ZGcJk-6-fcmWW token_type: type: string enum: - Bearer expires_in: type: integer minimum: 0 maximum: 300 description: >- Secondes avant que le token d'accès n'expire : au maximum 300, moins si la session se termine plus tôt. example: 299 session_id: type: string format: uuid description: >- La session à laquelle appartiennent ces tokens, qui a la même valeur que la revendication `sid`. example: c9abf6cc-2d64-4bf2-b31e-a4d09a070ab1 OAuthError: title: OAuth error type: object description: Une erreur OAuth (RFC 6749 section 5.2) ou une erreur de service. required: - error properties: error: type: string example: invalid_grant FieldErrors: title: Field errors type: object description: >- Erreurs de validation par champ. Une valeur est une liste de messages ou un code unique (`unknown_field`, `invalid_redirect_uri`). `non_field_errors` contient les règles transversales aux champs. additionalProperties: oneOf: - type: string - type: array items: type: string Detail: type: object required: - detail properties: detail: type: string example: invalid_token AuthorizationCodeGrantRequest: title: Authorization code grant type: object description: >- Échangez le code d'autorisation issu de votre redirection contre des tokens. Le code fonctionne une seule fois, pendant 60 secondes. required: - grant_type - code - code_verifier - redirect_uri properties: grant_type: type: string enum: - authorization_code code: type: string maxLength: 128 description: >- Le paramètre de requête `code` reçu par votre `redirect_uri`. Vérifiez le `state` du rappel avant de l'échanger. example: Vb0bVt4CLlr8ZL0kE5mAxv8gS6R0rW3hYqC1pN7dJ2s code_verifier: type: string minLength: 43 maxLength: 128 pattern: ^[A-Za-z0-9._~-]{43,128}$ description: >- Le vérificateur PKCE dont le hachage S256 correspondait au `code_challenge` de la connexion. example: dBjftJeZ4CVP-mB92K27uhbUJU1p1r_wW1gFWFOEjXk redirect_uri: type: string maxLength: 2048 description: >- L'URI `redirect_uri` exacte avec laquelle la connexion a débuté. Elle doit toujours faire partie des URI de redirection de l'application. example: https://app.example.com/auth/callback client_id: type: string maxLength: 64 description: >- Facultatif. Lorsqu'il est envoyé, il doit être égal à votre ID d'application, sinon la requête échoue avec `invalid_client`. example: 7b0a6c2e-3f41-4c9a-8d55-1e2f3a4b5c6d scope: type: string maxLength: 512 description: >- Optionnel et accepté depuis les clients OpenID Connect standard. Il n'élargit jamais ce que l'authentification a accordé. example: openid email RefreshTokenGrantRequest: title: Refresh token grant type: object description: >- Échangez un refresh token contre un nouveau token d'accès, un ID token et un refresh token. Le refresh token ne fonctionne qu'une seule fois : l'envoyer à nouveau révoque la session, exécutez donc un seul rafraîchissement à la fois pour une session. required: - grant_type - refresh_token properties: grant_type: type: string enum: - refresh_token refresh_token: type: string maxLength: 128 description: Le `refresh_token` de la réponse de token précédente. example: N4yZTl6y24YKYq77X_SOrBn1q2Lit81WBQMOay7dq_IVfTnxyY8ZGcJk-6-fcmWW client_id: type: string maxLength: 64 description: >- Facultatif. Lorsqu'il est envoyé, il doit être égal à votre ID d'application, sinon la requête échoue avec `invalid_client`. example: 7b0a6c2e-3f41-4c9a-8d55-1e2f3a4b5c6d scope: type: string maxLength: 512 description: >- Optionnel et accepté depuis les clients OpenID Connect standard. Un rafraîchissement n'élargit jamais ce que la session contient. example: openid email responses: OriginNotAllowed: description: >- La requête contenait un `Origin` qui n'est ni celui de l'application ni dans ses origines autorisées. Les requêtes serveur n'envoient pas de `Origin`. headers: Cache-Control: description: 'Toujours `no-store` : ne jamais mettre cette réponse en cache.' schema: type: string example: no-store Pragma: description: Toujours `no-cache`. schema: type: string example: no-cache content: application/json: schema: $ref: '#/components/schemas/Detail' examples: OriginNotAllowed: summary: Origine non autorisée value: detail: origin_not_allowed ApplicationNotFound: description: >- L'adresse appartient à une application, mais Authentication n'est pas actif pour celle-ci ; sur l'adresse `apx.didit.me`, l'identifiant de l'application est inconnu. Une adresse n'appartenant à aucune application est refusée avant d'atteindre l'endpoint, et cette réponse n'est pas en JSON. headers: Cache-Control: description: 'Toujours `no-store` : ne jamais mettre cette réponse en cache.' schema: type: string example: no-store Pragma: description: Toujours `no-cache`. schema: type: string example: no-cache content: application/json: schema: $ref: '#/components/schemas/Detail' examples: ApplicationNotFound: summary: Application inconnue value: detail: No Configuration matches the given query. RateLimited: description: >- Trop de requêtes issues de cette adresse IP pour cet endpoint, ou, sur un `POST` ou `DELETE`, un compartiment de protection contre les robots est vide. Rien n'a été exécuté : attendez `Retry-After` secondes, puis réessayez. headers: Retry-After: description: Secondes à attendre avant de réessayer. schema: type: integer example: 60 Cache-Control: description: 'Toujours `no-store` : ne jamais mettre cette réponse en cache.' schema: type: string example: no-store Pragma: description: Toujours `no-cache`. schema: type: string example: no-cache content: application/json: schema: $ref: '#/components/schemas/Detail' examples: RateLimited: summary: Limite du endpoint value: detail: >- Too many requests from this IP address. Please wait before trying again. Expected available in 60 seconds. BotProtection: summary: Limite de protection contre les bots (POST et DELETE) value: detail: rate_limited Expected available in 2 seconds. TemporarilyUnavailable: description: >- Un service dont dépend la requête est temporairement indisponible. Réessayez en augmentant progressivement l'intervalle entre les tentatives. headers: Cache-Control: description: 'Toujours `no-store` : ne jamais mettre cette réponse en cache.' schema: type: string example: no-store Pragma: description: Toujours `no-cache`. schema: type: string example: no-cache content: application/json: schema: $ref: '#/components/schemas/OAuthError' examples: TemporarilyUnavailable: summary: Réessayer plus tard value: error: temporarily_unavailable ```` This documentation is built and hosted on [Mintlify](https://mintlify.com), a developer documentation platform.