Endpoints OAuth, OIDC et SAML

La table de référence de tous les endpoints publics du protocole, les types de grant du token endpoint, et les surfaces SAML et SCIM.

Tous les endpoints de protocole vivent sur votre domaine de connexion. Les exemples utilisent https://accounts.obexal.com, le domaine par défaut : si votre organisation utilise un domaine personnalisé, il remplace cet hôte partout, y compris dans l'issuer.

Découverte

Deux documents publics sont le point d'entrée de toute intégration :

curl https://accounts.obexal.com/.well-known/openid-configuration
curl https://accounts.obexal.com/.well-known/jwks.json

Le document de découverte annonce les capacités exactes de la plateforme :

Endpoints OAuth 2.1 et OIDC

/oauth/authorize accepte aussi un request_uri obtenu via /oauth/par (usage unique) ; les autres paramètres de requête sont alors ignorés. /oauth/logout accepte client_id, post_logout_redirect_uri (validée contre la liste enregistrée du client) et state.

Types de grant du token endpoint

POST /oauth/token prend un corps form-encoded et renvoie du JSON avec Cache-Control: no-store. Le paramètre grant_type sélectionne le flux :

L'authentification du client supporte client_secret_basic, client_secret_post, private_key_jwt (assertion signée, RFC 7523) et none pour les clients publics, qui reposent sur PKCE seul. Sur tout grant, un en-tête DPoP optionnel lie le jeton émis à la clé du client (claim cnf.jkt) et le token_type devient DPoP au lieu de Bearer. Voir Sécurité avancée des clients.

curl -X POST https://accounts.obexal.com/oauth/token \
  -d grant_type=client_credentials \
  -d client_id=svc-reporting \
  -d client_secret="$CLIENT_SECRET"

{"access_token": "eyJhbGciOiJSUzI1NiIs...", "token_type": "Bearer", "expires_in": 600, "scope": "reports:read"}

Seuls authorization_code et refresh_token renvoient un refresh token et, avec le scope openid, un ID token. Les réponses Token Exchange ajoutent issued_token_type. Les réponses d'erreur utilisent la forme OAuth (error, error_description) : voir Erreurs et limites, et Valider les jetons pour consommer ce que vous recevez.

Déconnexion back-channel

La déconnexion back-channel est émise, pas reçue : il n'existe aucun endpoint entrant de déconnexion. Quand la session d'un utilisateur se termine, Obexal envoie en POST un logout_token signé (JWT, typ: logout+jwt, RS256) à la backchannel_logout_uri enregistrée sur chaque application à laquelle l'utilisateur avait consenti. La déconnexion est indexée par sub, pas par session (backchannel_logout_session_supported: false). Voir Sessions et déconnexion.

Endpoints SAML 2.0

Dans les chemins ci-dessous, {tenant} est le slug de votre organisation.

Obexal comme fournisseur d'identité (SSO sortant, voir IdP SAML) :

Obexal comme service provider (SSO d'entreprise entrant, voir SP SAML) :

SCIM 2.0

Le provisioning entrant est servi sous /scim/v2 (ressource Users uniquement), authentifié par un bearer token propre au tenant. La surface complète, le schéma d'attributs et les limites sont documentés dans la référence SCIM.