Échange du code
Retour sur la redirect_uri, vérification du state et appel au endpoint token.
Le retour
A3BC redirige vers votre redirect_uri :
https://app.example.com/callback?code=...&state=...
En cas d’échec (consentement refusé, ACR non satisfaite, incident), la requête contient error et error_description à la place du code. Comparez toujours state à la valeur de la session avant d’aller plus loin.
L’appel token
| Élément | Valeur |
|---|---|
| Méthode | POST https://oidc-sandbox.a3bc.io/oauth2/token |
| Authentification | client_secret_basic : en-tête Authorization: Basic base64(client_id:client_secret) |
Corps (application/x-www-form-urlencoded) |
grant_type=authorization_code, code, redirect_uri |
Le code est à usage unique, et la redirect_uri doit être identique à celle de la requête d’autorisation. Exemples dans le démarrage rapide.
La réponse
Un objet JSON contenant notamment access_token et id_token. L’access_token sert à appeler le endpoint userinfo et l’API document.
Les informations restent disponibles 30 minutes après le consentement. Si un claim attendu est absent et que vous avez demandé le scope
private:delayed_sharing, consultez le partage différé.