Authentification

POST /api/v1/auth/login

`POST /auth/login` (§19.3, §6.1 : réponses non énumérantes). MFA non implémentée à ce

Corps de requête : JSON

• 200 — Session créée (cookies de session et CSRF posés)
• 401 — Identifiants invalides
• 403 — E-mail non vérifié ou compte suspendu
• 423 — Compte verrouillé
• 429 — Trop de tentatives

POST /api/v1/auth/logout

`POST /auth/logout` (§19.3) — révoque la session courante et efface les cookies.

• 204 — Session révoquée, cookies effacés
• 401 — Non authentifié
• 403 — Jeton CSRF manquant ou invalide

POST /api/v1/auth/password/forgot

`POST /auth/password/forgot` (§19.3, §6.1 : réponse non énumérante). Renvoie

Corps de requête : JSON

• 204 — Réponse toujours identique, que le compte existe ou non (§6.1)
• 429 — Trop de tentatives

POST /api/v1/auth/password/reset

`POST /auth/password/reset` (§19.3) — révoque toutes les sessions du compte en cas de

Corps de requête : JSON

• 204 — Mot de passe réinitialisé, toutes les sessions révoquées
• 400 — Jeton invalide, expiré ou déjà utilisé
• 422 — Mot de passe trop faible
• 429 — Trop de tentatives

POST /api/v1/auth/register

`POST /auth/register` (§19.3).

Corps de requête : JSON

• 201 — Compte créé, e-mail de vérification envoyé
• 409 — Adresse e-mail déjà utilisée
• 422 — Validation échouée (e-mail/mot de passe)
• 429 — Trop de tentatives

POST /api/v1/auth/verify-email

`POST /auth/verify-email` (§19.3).

Corps de requête : JSON

• 204 — E-mail vérifié
• 400 — Jeton invalide, expiré ou déjà utilisé