Authentification
L'API Aprovall utilise des tokens JWT (JSON Web Tokens) pour authentifier vos requêtes via OAuth 2.0.
Obtenir vos identifiants
Pour utiliser l'API, vous devez disposer d'un compte utilisateur Aprovall. Contactez votre gestionnaire de compte pour obtenir :
- Username — Votre identifiant utilisateur
- Password — Votre mot de passe
Ne partagez jamais vos identifiants. Stockez-les dans des variables d'environnement et ne les commitez jamais dans votre code source.
Obtenir un token JWT
Avant d'appeler l'API, vous devez obtenir un token JWT via l'endpoint d'authentification.
Authentification : https://auth.e-attestations.com
API : https://edge.aprovall.com
curl -X POST https://auth.e-attestations.com/auth/realms/eat_realm/protocol/openid-connect/token \
-H "Content-Type: application/x-www-form-urlencoded" \
-d "grant_type=password" \
-d "client_id=ea-api-edge" \
-d "username=YOUR_USERNAME" \
-d "password=YOUR_PASSWORD"Paramètres
| Parameter | Value | Description |
|---|---|---|
grant_type | password | Type d'authentification (fixe) |
client_id | ea-api-edge | Identifiant client (fixe) |
username | Votre username | Identifiant de votre compte |
password | Votre password | Mot de passe de votre compte |
Réponse
{
"access_token": "eyJhbGciOiJSUzI1NiIsInR5cCI6IkpXVCJ9...",
"token_type": "Bearer",
"expires_in": 300,
"refresh_token": "eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9...",
"refresh_expires_in": 1800
}Le token access_token est valide pendant la durée indiquée par expires_in (en secondes). Utilisez le refresh_token pour obtenir un nouveau token sans ressaisir vos identifiants.
Utiliser le token
Incluez le token dans l'en-tête Authorization de toutes vos requêtes API :
curl -X GET https://edge.aprovall.com/api/v1/account/123/thirdparties \
-H "Authorization: Bearer eyJhbGciOiJSUzI1NiIsInR5cCI6IkpXVCJ9..."Bonnes pratiques
- Stockez le token de manière sécurisée — Variables d'environnement côté serveur
- Renouvelez le token avant expiration — Prévoyez une marge de sécurité
- Gérez les erreurs 401 — Redemandez un nouveau token si nécessaire
- Utilisez HTTPS uniquement — Ne transmettez jamais de tokens en clair