Jetons

GET /.well-known/jwks.json

`GET /.well-known/jwks.json` (§6.3 : « clés publiques exposées en JWKS interne »). Servie

• 200 — Jeu de clés publiques JWKS (RFC 7517) signant les jetons d'accès

POST /api/v1/auth/device/approve

`POST /auth/device/approve` (§19.3) — depuis une session dashboard authentifiée : l'

Corps de requête : JSON

• 204 — Appareil approuvé ou refusé
• 401 — Non authentifié ou 2FA requise
• 403 — Jeton CSRF manquant ou invalide
• 404 — Code invalide ou expiré
• 429 — Trop de tentatives

POST /api/v1/auth/device/code

`POST /auth/device/code` (§19.3, RFC 8628) — démarre le device flow depuis le CLI.

• 200 — Code appareil + code utilisateur (RFC 8628)
• 429 — Trop de tentatives

POST /api/v1/auth/device/token

`POST /auth/device/token` (§19.3, RFC 8628) — sondé par le CLI jusqu'à approbation.

Corps de requête : JSON

• 200 — État courant de l'autorisation (pending/denied/expired/approved)
• 429 — Trop de tentatives

POST /api/v1/auth/refresh

`POST /auth/refresh` (§19.3, §6.3) — rotation : le jeton présenté est immédiatement

Corps de requête : JSON

• 200 — Nouveau jeton d'accès + refresh token (rotation)
• 401 — Jeton invalide, expiré, révoqué, ou réutilisation détectée
• 429 — Trop de tentatives